„`html
Zusammenfassung
SurrealDB-Versionen vor 1.1.0 weisen eine kritische Schwachstelle in der HTTP REST API auf. Die fehlerhafte Verarbeitung spezieller Zeichen in den HTTP-Headern ID, DB und NS führt zu einem Denial-of-Service (DoS) Zustand. Unauthentizierte Angreifer können durch gezielt manipulierte HTTP-Header-Werte eine unbehandelte Ausnahmeverletzung auslösen und damit den Server zum Absturz bringen.
Betroffene Systeme
- SurrealDB Versionen < 1.1.0
- Alle Systeme mit exponierter HTTP REST API
- Umgebungen ohne vorgelagerter WAF-Schutz
Technische Details
Die Schwachstelle liegt in der Headerverarbeitung des REST API-Endpunkts. Bei der Validierung der Header-Felder „ID“, „DB“ und „NS“ erfolgt keine ausreichende Input-Sanitization für Sonderzeichen. Dies führt zu ungültigen Zustandsübergängen im Parser, die durch Exception-Handling nicht abgefangen werden.
Ein Angreifer benötigt lediglich Netzwerkzugriff auf den SurrealDB-Port. Keine Authentifizierung ist erforderlich. Beispiel-Angriffsvektoren umfassen null-byte-Injection, newline-Injection oder Unicode-Exploits in den Header-Werten.
Empfohlene Massnahmen
- Sofortiger Upgrade: Auf SurrealDB 1.1.0 oder neuer aktualisieren
- Netzwerk-Isolation: HTTP REST API nur für vertrauenswürdige Netzwerke exponieren
- WAF-Regeln: Web Application Firewall konfigurieren zur Header-Validierung
- Monitoring: Logs auf malformed Header-Anfragen überwachen
- Rate-Limiting: DDoS-Schutz implementieren
Bewertung
CVSS 7.5 (High): Netzwerk-basierter Angriff ohne Authentifizierung mit High-Impact auf Verfügbarkeit. Die fehlende Authentifizierungsanforderung und die einfache Exploitation steigern das Risiko erheblich. Sofortige Maßnahmen sind erforderlich.
„`