TiDB 数据泄露报告:凭据进 Jira 工单、4 年未修的根权限漏洞
arpit_bhayani · x · 2026-10-21
博主引用一份 TiDB 相关泄露报告中的四段原文，点名 PingCAP 的严重安全问题：
- 报告作者用其公开仓库里提交的 GCP 服务账号密钥和 Azure service principal，自建了 TiDB 控制面数据库的复制流；
- 账号服务中管理员只是一个租户 ID，可绕过组织检查拿到 owner 角色；
- 安全团队 2022 年 8 月就记录过：客户组织内任何成员(含仅计费角色)都能以 root 接管该组织全部集群，工单拖了四年未修，漏洞一直存活；
- PingCAP 工程师把客户生产凭据直接贴进 Jira 工单。
作者尤其警告最后一点：生产凭据进 Jira，一旦 Jira 被攻破后果不堪设想。
所属事件:PingCAP 确认内部系统遭未授权访问，TiDB 安全漏洞被曝多年未修(3 条相关)→
「Infra」频道最新
- 投资者称市场低估算力需求千倍：智能将达太瓦级电力规模 — inductionheads · 2026-10-21
- FireTrident：80 个编码 Agent 共享一个仓库，62 秒清零 Hono 958 条违规 — dinasaur_404 · 2026-10-21
- 传 xAI 因中国光模块受限,转向 ACC/AEC 与铜互连 — jwt0625 · 2026-10-21
- a16z 旧金山堆场爆满：fal、ElevenLabs 等谈推理系统扩展 — venturetwins · 2026-10-21
- Baseten 零日上线三款新开源模型，自称基准与生产流量双第一 — baseten · 2026-10-21
- Modal 工程团队详解 Serverless 推理路由的粘性会话设计 — blelbach · 2026-10-21