[MariaDB] Brez insert pravice možen insert preko procedure...

Dober večer.

Danes sem nalete na nenavadno obnašanje MariaDB 10.11.1 serverja, kar se gre pravic.

Uporabnik user_1 ima na bazi database_1:
- GRANT EXECUTE ON pravico na nivoju baze (to je za poganjat procedure)
- ter GRANT SELECT, INSERT, UPDATE ON na tabeli table_1

Na tej bazi pa obstaja tudi tabela table_2, ter procedura, ki izvede INSERT v tabelo table_2.

In sedaj, če z uporabnikom user_1 poženem INSERT INTO table_2..., dobi 'command denied', kar je normalno, ker na tej tabeli nima teh pravic.

A če s tem istim uporabnikom požene proceduro CALL `database_1`.`table_2_insert` (...);, v kateri je ta isti insert ukaz, pa gre zadeva skozi in vnese podatke.

Testiral sem tako, da sem se v terminalu privajil s tem userjem (mysql -u user_1 -p). Pa 3x preveril, da nisem root al pa kaj takega.

Kolikor se spomnim, "včasih" to, da si proceduro uporabil kot proxy in je šlo vse skos, tudi če nisi imel pravic na tabeli, ni delalo. Sedaj pa dela. Weird.

-----------------------------------

UPDATE 1

Primer iz MSSQL: https://sqlnuggets.com/stored-procedure...


UPDATE 2

Rešitev: SQL SECURITY INVOKER

Docs:

https://mariadb.com/kb/en/stored-routin...

https://kedar.nitty-witty.com/blog/acce...

Solid.