„`html
Zusammenfassung
CVE-2024-58361 beschreibt eine Denial-of-Service-Schwachstelle in SurrealDB vor Version 2.0.4. Eine unzureichende Fehlerbehandlung in der Parser-Fehlerausgabe führt zu einem unkontrollierten Exception-Fehler, wenn leere Strings bei der Typkonvertierung verarbeitet werden. Authentifizierte Clients können diese Schwachstelle ausnutzen, um den Server zum Absturz zu bringen.
Betroffene Systeme
Betroffene Versionen: SurrealDB vor Version 2.0.4
Angriffsvektor: Netzwerk (Network)
Anforderung: Authentifizierung erforderlich
Die Schwachstelle betrifft alle Installationen von SurrealDB, die vor der korrigierten Version 2.0.4 eingesetzt werden und über das Netzwerk erreichbar sind.
Technische Details
Die Vulnerability liegt in der Fehlerbehandlung des SurrealDB-Parsers. Beim Rendering von Parser-Fehlern werden Exceptions bei der Verarbeitung von leeren Strings nicht ordnungsgemäß abgefangen. Spezifisch tritt das Problem auf, wenn authentifizierte Clients malformed Queries mit leeren String-Konvertierungen zu den Typen record, duration oder datetime einreichen.
Das unkontrollierte Exception-Handling führt zu einem Panic-Zustand in der Error-Rendering-Komponente, was letztlich zum Serverabsturz führt. Dies ermöglicht einen lokalen Denial-of-Service-Angriff durch authentifizierte Benutzer.
Empfohlene Massnahmen
- Sofortige Aktion: Upgrade auf SurrealDB Version 2.0.4 oder höher durchführen
- Netzwerkschutz: Beschränkung des Datenbankzugriffs auf vertrauenswürdige Netzwerke implementieren
- Zugriffskontrolle: Strenge Authentifizierung und Autorisierung überprüfen
- Monitoring: Server-Logs auf unerwartete Neustarts überwachen
Bewertung
Schweregrad: Medium (CVSS 6.5)
Trotz des mittleren CVSS-Scores sollte diese Schwachstelle prioritär behandelt werden, da sie mit Authentifizierung ausnutzbar ist und direkten Service-Ausfall verursacht. Für produktive Umgebungen ist ein zeitnaher Patch empfohlen.
„`