🟠 CVE-2024-58362: High Schwachstelle

„`html

Zusammenfassung

CVE-2024-58362 beschreibt eine kritische Sicherheitslücke in SurrealDB, die es unauthentizierten Angreifern ermöglicht, beliebige Datenbankoperationen auszuführen. Die Schwachstelle liegt in der unzureichenden Validierung von Objekten in den SIGNIN- und SIGNUP-Operationen der RPC-API. Betroffene Versionen sind SurrealDB vor 1.5.5 und 2.0.0-beta vor 2.0.0-beta.3.

Betroffene Systeme

• SurrealDB < 1.5.5
• SurrealDB 2.0.0-beta < 2.0.0-beta.3
• Systeme mit exponierter RPC-API für untrusted Users
• Installationen mit Record Access Methoden (SIGNIN/SIGNUP Queries)

Technische Details

Die Vulnerabilität entsteht durch fehlende rekursive Validierung von Objektparametern in den RPC-Authentifizierungsendpunkten. Angreifer können binär serialisierte Objekte (bincode-Format) mit eingebetteten Subqueries craften und als Credentials übermitteln.

Die Subquery wird im Kontext einer System-User-Session mit Editor-Rolle unter dem Datenbankbesitzer ausgeführt. Dies ermöglicht:

• SELECT-Operationen auf Datenbankressourcen
• CREATE/UPDATE/DELETE-Operationen (keine IAM-Ressourcen)
• Ausführung unter erhöhten Privilegien

Wichtige Einschränkung: IAM-Ressourcen bleiben geschützt, da diese Owner-Rolle erfordern. Abfrageergebnisse werden nicht an den Angreifer zurückgegeben.

Empfohlene Massnahmen

• Sofort: Upgrade auf SurrealDB 1.5.5 oder 2.0.0-beta.3 (oder aktueller)
• RPC-API-Zugang einschränken auf vertrauenswürdige Netzwerke
• Authentifizierungsmechanismen überprüfen und neu bewerten
• Datenbankzugriffsprotokolle auf verdächtige Aktivitäten analysieren
• Least-Privilege-Prinzipien für Datenbankbenutzer implementieren

Bewertung

CVSS 8.8 (High): Netzwerkbasierter Angriff ohne Authentifizierung mit hohem Impact auf Datenbankintegrität und Verfügbarkeit. Die fehlende Rückgabe von Abfrageergebnissen reduziert den praktischen Impact begrenzt. Organisationen mit exponierter SurrealDB-RPC-API sollten prioritär aktualisieren.

„`