安全公告：影响Percona监控管理（PMM）的CVE漏洞

2025年10月14日 Liz Warner

在以下Percona提供的软件中发现了一个关键安全漏洞，您可能正在使用该软件：PMM 3.x安装（即3.0及更高版本）。此问题的通用漏洞披露（CVE）标识符可向mitre.org申请获取。

漏洞详情

我们通过外部报告获悉，PMM Server 3.x安装包含多个受近期高度相关CVE影响的组件：

Percona已采取的措施

我们已发布PMM 3.4.1版本直接解决这些安全问题，包括：

• 升级Percona Toolkit以解决高严重性的DoS漏洞
• 移除易受攻击的clickhouse-diagnostics包以消除ClickHouse Go相关缺陷的暴露风险
• 将Nomad升级至v1.10.5以缓解SSH代理依赖漏洞（CVE-2025-8959）
• 基础Oracle Linux 9操作系统中已包含解决OpenSSL/OL9 CVE的安全补丁，我们将在Oracle公开发布这些更新后立即应用

为了透明度和提高安全意识，我们将为此问题发布公开的CVE。

您应采取的措施

我们强烈建议所有用户立即将其PMM安装升级至3.4.1版本以应用关键安全修复：

• 升级PMM 3：升级您现有的PMM 3安装
• 从PMM 2升级：从PMM 2迁移到PMM

Percona托管服务客户：团队将与您合作，将您的PMM升级至3.4.1版本和Nomad（如果之前已部署）。如有任何问题，请在Percona客户门户中提交工单。

Percona支持和专业服务客户：如果您在升级或审查暴露风险方面需要任何帮助，请通过在我们的Percona客户门户中提交工单联系我们的服务支持团队。

我们随时提供帮助

如果您需要进一步澄清或协助，我们24/7全天候为您提供支持：

• 客户技术支持门户
• 社区技术支持

确保您的数据库基础设施安全是我们的首要任务。我们感谢您对Percona的持续信任。

关于作者

Liz Warner是Percona的首席技术官。在加入Percona之前，她曾担任Kubernetes领域开源公司Weaveworks的CTO。她担任CTO已超过十年，拥有软件和基础设施工程背景。她曾领导NatWest、Nationwide和Toyota Connected等公司的产品/工程组织，并为Mastercard和Apple领导团队和构建系统。作为加州本地人和加州大学伯克利分校的毕业生，她与家人居住在英国。