„`html
Zusammenfassung
Die Schwachstelle CVE-2024-58364 betrifft SurrealDB-Versionen vor 1.2.1 und ermöglicht authentifizierten Clients, den Datenbankserver durch gezielt malformierte Abfragen zum Absturz zu bringen. Die Vulnerabilität liegt in der fehlerhaften Exception-Behandlung der Span-Rendering-Komponente beim Parsen von Query-Fehlern mit Zeilenumbruchzeichen.
Betroffene Systeme
Betroffene Versionen: SurrealDB vor Version 1.2.1
Angriffsvektor: Netzwerk (Network)
Voraussetzung: Authentifizierte Zugriffsberechtigung erforderlich
Technische Details
Die Vulnerabilität besteht in der unzureichenden Exception-Behandlung beim Rendering von Error-Spans während des Query-Parsing-Prozesses. Speziell bei der Verarbeitung von Zeilenumbruchzeichen (Line Terminator Characters) in fehlerhaften Queries wird eine nicht abgefangene Exception ausgelöst.
Ein autorisierter Client kann eine gezielt konstruierte, syntaktisch ungültige Abfrage einreichen. Diese Abfrage führt dazu, dass die Span-Rendering-Engine mit unerwarteten Zeichenkombinationen konfrontiert wird und einen unkontrollierten Panic-Zustand auslöst. Dies resultiert in einem sofortigen Crash des SurrealDB-Datenbankserver-Prozesses und damit in einer Denial-of-Service-Bedingung (DoS).
Empfohlene Massnahmen
1. Sofortige Massnahmen:
- Implementierung von Netzwerk-Zugriffsbeschränkungen auf SurrealDB-Ports
- Beschränkung der Authentifizierung auf vertrauenswürdige Clients
- Monitoring der Datenbankserver auf unerwartet hohe Crash-Raten
2. Mittelfristige Lösung: Upgrade auf SurrealDB Version 1.2.1 oder höher durchführen.
Bewertung
CVSS-Score: 6.5 (Medium)
Trotz des mittleren Schweregrads ist eine zeitnahe Behebung empfohlen, da ein DoS-Angriff die Verfügbarkeit kritischer Datenbankinfrastruktur gefährden kann. Das Risiko wird durch die Authentifizierungsanforderung deutlich reduziert, ermöglicht aber gezielten Missbrauch durch Insider-Threats oder bei kompromittierten Zugangsdaten.
„`