blueprintUE 默认配置漏洞深度复盘：CVSS 9.8 的 MariaDB 空密码裸奔与 Docker 暴露面治理

导语：blueprintUE 默认配置漏洞（CVE-2026-126812）以 CVSS 9.8 的满分姿态提醒所有架构师：最危险的漏洞往往不在业务代码里，而在官方文档那句“复制即可运行”的 Docker Compose 示例中。一个 MYSQL_ALLOW_EMPTY_PASSWORD=yes 加上一段 3306:3306 的端口映射，就把整个数据库的 root 权限交给了任何能扫到该端口的未授权攻击者。

flowchart TD
    subgraph 攻击面 ["外部攻击面 (Internet / Untrusted Network)"]
        A["未授权攻击者 (端口扫描 3306)"] --> B["Docker Host 公网 IP:3306"]
    end
    subgraph 暴露层 ["容器网络暴露层 (Docker Port Publishing)"]
        B --> C["docker-proxy / iptables DNAT"]
        C --> D["MariaDB 容器 3306 端口"]
    end
    subgraph 认证层 ["数据库认证层 (Auth Layer)"]
        D --> E{"root 空密码校验"}
        E -->|"MYSQL_ALLOW_EMPTY_PASSWORD=yes"| F["认证通过 (无凭证)"]
    end
    subgraph 数据层 ["核心数据资产 (Data Tier)"]
        F --> G[("blueprints / users / 全库读写删")]
    end
  

一、事件定性：这不是代码缺陷，而是“默认配置即漏洞”

CVE-2026-126812 被评定为 critical、CVSS 9.8，几乎踩满了“机密性、完整性、可用性”三高失分的所有条件。但真正值得架构师警惕的是它的成因：漏洞不在 blueprintUE 的 PHP 业务逻辑里，而在其官方仓库提供的 Docker Compose 示例中。

根据 GHSA-2qmp-cjw7-vvxj 通告，4.3.7 之前的 Self-Hosted Edition 在 database.env 中设置了 MYSQL_ALLOW_EMPTY_PASSWORD=yes，并在 Compose 中把 MariaDB 的 3306 端口发布到宿主机。两个“为了方便演示”的默认值叠加，构成了一个完整的未授权访问通道：

• 认证被主动关闭：MYSQL_ALLOW_EMPTY_PASSWORD=yes 允许 root 以空密码登录，等于把数据库的超级管理员凭证设为“无”。
• 网络边界被主动打开：ports: - "3306:3306" 通过 docker-proxy / iptables DNAT 将容器端口发布到宿主机所有网卡，公网可达。
• 权限未收敛：应用以 root 身份连接数据库，攻击者一旦登录即拥有对 users、blueprints 及全部数据库的读、改、删能力。

二、blueprintUE 默认配置漏洞的攻击链推演

2.1 从端口扫描到 root 登录：只需三步

攻击者视角下，这条链路短得令人不安。Shodan / masscan 对 3306 端口做一次全网测绘，就能批量定位暴露的 MariaDB 实例；随后用任意 MySQL 客户端以 root + 空密码尝试握手，认证层直接放行。

# 1. 探测 3306 是否公网可达
nc -zv target-host 3306

# 2. 空密码 root 登录验证
mysql -h target-host -P 3306 -u root --skip-password -e "SELECT user, host FROM mysql.user;"

# 3. 若成功，全库数据即处于可读写状态
mysql -h target-host -u root --skip-password -e "SHOW DATABASES;"

2.2 为什么“示例配置”会被原样搬进生产

这是我在过去多年架构评审中反复见到的模式：自托管开源项目的 Compose 示例为了降低上手门槛，默认关闭认证、默认暴露端口、默认使用弱口令。运维同学在“先跑起来再说”的节奏下直接复制，随后因为“能正常工作”而再也没有回头审视。默认配置的便利性，最终以生产环境的攻击面为代价被支付。

三、应急响应：四步完成止血与取证

对于已部署旧版示例的实例，修复顺序必须是“先断暴露面、再换凭证、后查痕迹”。任何一步颠倒都可能让攻击者在窗口期内完成数据窃取。

3.1 第一步：立即切断 3306 公网暴露

最快的止血手段是在宿主机防火墙层面封禁 3306 入站，而不是等待重新部署。随后再修改 Compose 文件，彻底移除端口发布。

# 使用 iptables 立即封禁外部对 3306 的访问（保留本机回环）
iptables -I INPUT -p tcp --dport 3306 ! -s 127.0.0.1 -j DROP

# 若使用 ufw
ufw deny 3306/tcp

# 验证端口不再对外可达
ss -lntp | grep 3306

3.2 第二步：重建数据库凭证与最小权限账号

空密码意味着所有历史凭证都应视为已泄露。正确的做法不是“补一个密码”，而是重建账号体系：root 仅限本地 socket 登录，应用使用独立账号且只授予业务库的必要权限。

-- 1. 为 root 设置强密码并限制来源
ALTER USER 'root'@'localhost' IDENTIFIED BY 'STRONG_RANDOM_PASSWORD';
ALTER USER 'root'@'%' IDENTIFIED BY 'STRONG_RANDOM_PASSWORD';

-- 2. 创建应用专用账号，仅授权业务库
CREATE USER 'blueprintue'@'%' IDENTIFIED BY 'ANOTHER_STRONG_PASSWORD';
GRANT SELECT, INSERT, UPDATE, DELETE ON blueprintue.* TO 'blueprintue'@'%';
FLUSH PRIVILEGES;

-- 3. 清理匿名账号与测试库
DROP DATABASE IF EXISTS test;
DELETE FROM mysql.user WHERE user = '';
FLUSH PRIVILEGES;

3.3 第三步：修正 Compose 文件的安全基线

核心原则只有一条：数据库容器不需要被宿主机之外的任何实体访问。因此不写 ports，只通过自定义 internal 网络让应用容器互联；凭证通过 env_file 或 Docker secrets 注入，绝不硬编码在 Compose 中。

services:
  db:
    image: mariadb:11
    restart: unless-stopped
    env_file:
      - ./database.env   # 内含强随机 MYSQL_ROOT_PASSWORD，禁止 MYSQL_ALLOW_EMPTY_PASSWORD
    # 关键：不发布任何端口，仅容器内网可达
    # ports:
    #   - "3306:3306"
    networks:
      - backend
    volumes:
      - db_data:/var/lib/mysql

  app:
    image: blueprintue/self-hosted:4.3.7
    depends_on:
      - db
    environment:
      DB_HOST: db
      DB_USER: blueprintue
    networks:
      - backend
      - frontend

networks:
  backend:
    internal: true   # 禁止 backend 网络访问外网
  frontend:
    driver: bridge

volumes:
  db_data:

3.4 第四步：取证与影响面评估

在止血之后，必须回答一个问题：攻击者是否已经进来过？重点关注数据库登录日志、异常账号、蓝图数据的完整性校验，以及宿主机上是否出现异常进程或计划任务。

# 1. 查看数据库容器日志中的异常登录
 docker logs blueprintue-db 2>&1 | grep -Ei "Access denied|Connect|root" | tail -n 200

# 2. 检查是否存在可疑账号
mysql -u root -p -e "SELECT user, host, account_locked FROM mysql.user;"

# 3. 检查蓝图数据是否被篡改（对比备份哈希）
mysql -u root -p blueprintue -e "CHECKSUM TABLE blueprints;"

# 4. 宿主机异常排查
crontab -l; ls -la /etc/cron.d/; ps aux --sort=-%cpu | head -20

# 5. 网络连接排查
ss -antp | grep -E "3306|ESTAB"

四、从单点漏洞到体系化防御：默认配置安全基线

blueprintUE 默认配置漏洞不是孤例。过去几年里，Elasticsearch 未授权访问、Redis 空密码、MongoDB 裸奔、MinIO 默认密钥，本质上是同一类问题的不同变体：默认配置为了“开箱即用”牺牲了安全边界。作为架构师，我建议把防御前移到三个层面。

4.1 基础设施层：默认拒绝的网络策略

• 所有数据库、缓存、消息队列容器一律不发布宿主机端口，仅通过 internal 网络供应用访问。
• 宿主机防火墙采用默认拒绝策略，入站仅放行 80/443 等必要端口。
• 在 CI 中引入 docker compose config 与自定义 lint 规则，检测 ports 中出现 3306/6379/27017 等高危端口的变更。

4.2 应用层：凭证零信任与最小权限

• 禁止任何形式的空密码、默认密码、示例密码进入非开发环境；凭证统一由 Vault / Docker secrets / K8s Secret 注入。
• 数据库账号按“一服务一账号”拆分，权限收敛到具体库表的 DML 级别，杜绝应用使用 root。
• 对 MYSQL_ALLOW_EMPTY_PASSWORD、ALLOW_EMPTY_PASSWORD 这类环境变量建立全局黑名单，在部署流水线中直接拦截。

4.3 流程层：把“官方示例”当作不可信输入

这是最容易被忽视、也最难制度化的一环。我通常要求团队在引入任何自托管开源项目时，把官方 Compose 示例视为不可信输入，必须经过一次安全评审才能进入内部模板库。评审清单至少包括：端口发布、认证开关、默认凭证、挂载目录权限、镜像来源与版本锁定。

五、修复版本与升级建议

官方已在 4.3.7 版本中修正了示例配置。对于仍在运行旧版本的实例，建议按以下顺序推进：

• 立即：防火墙封禁 3306，轮换 root 与所有数据库凭证。
• 24 小时内：核对并修正 Compose 与 env 文件，移除端口发布与空密码开关。
• 一周内：升级至 4.3.7 及以上，完成取证排查与数据完整性校验。
• 持续：将默认配置安全基线纳入 CI 门禁与季度架构评审。