Debian 上 MariaDB 的安全性概览
在 Debian 上，MariaDB 的安全态势取决于三个层面：操作系统提供的安全更新与仓库管理、MariaDB 官方与发行版的安全修复节奏，以及你的配置与运维实践。总体上，Debian 的稳定版仓库会为 MariaDB 提供及时的安全修复；同时，历史上也出现过需要升级修复的漏洞，因此保持更新与正确配置至关重要。
已知风险与修复节奏
- 历史上影响广泛的高危问题包括本地权限提升与命令执行等，例如 CVE-2016-6663/CVE-2016-5616（影响范围覆盖多个版本，要求升级到 MariaDB ≥ 10.1.18、10.0.28、5.5.52 等修复版本），以及 CVE-2022-38791（在 10.9.2 之前版本存在死锁类问题，需升级）。这类案例说明：及时更新能直接降低暴露面与风险。
- 近年仍有被披露的安全缺陷，涵盖权限提升、缓冲区溢出、命令执行等类型（如 CVE-2022-32081、CVE-2023-39593、CVE-2024-27766 等），厂商与社区会发布补丁修复，建议持续关注并升级到包含修复的版本。
Debian 默认配置的安全特点
- 在 Debian 10 等版本中，MariaDB 的 root 账户默认使用 unix_socket 插件进行本地认证，这意味着只有本机通过系统 root 或 sudo 调用 mysql 客户端时才能以 root 身份登录。该设计减少了远程暴力破解 root 的可能性，但一旦本机被攻破，风险也会随之上升。
- 安装完成后运行 mysql_secure_installation 是推荐的起点，可设置 root 密码、删除匿名用户、禁止远程 root 登录、移除测试库并重新加载权限表，从而显著提升默认安装的安全性。
加固要点清单
- 保持系统与数据库更新：定期执行 apt update/upgrade，并启用 unattended-upgrades 做自动安全更新，减少暴露窗口。
- 网络与访问控制：如无远程需求，将 bind-address 设为 127.0.0.1；确需远程时仅开放必要来源 IP，并配合防火墙（如 ufw/iptables）限制 3306/tcp。
- 禁用危险功能与降低攻击面：在 [mysqld] 中设置 local-infile=0，避免通过 LOAD DATA LOCAL 读取敏感文件；必要时修改默认端口并加强端口访问控制。
- 认证与授权：遵循最小权限原则，按应用创建专属数据库与用户，避免使用 root 直连应用；谨慎变更 root 的认证方式，保留 unix_socket 可降低远程风险。
- 加密与机密性：为客户端/复制链路启用 SSL/TLS，避免凭据与数据在传输中被窃听。
- 审计与监控：启用并定期审查 MariaDB 日志，结合 Logwatch/Fail2ban 等工具进行异常登录与暴力尝试告警。
版本选择与升级建议
- 优先使用 Debian 稳定版官方仓库中的 MariaDB 包，及时应用安全更新；如运行较旧分支，应评估升级到包含修复的版本（例如前述 CVE-2016-6663/CVE-2016-5616 要求升级到 10.1.18/10.0.28/5.5.52 等）。
- 若因功能或版本需求选择上游官方二进制包，务必自行承担更新与维护责任，并确保与系统库、依赖与备份策略兼容。
