„`html
Zusammenfassung
Die Sicherheitslücke CVE-2024-58369 betrifft SurrealDB in Versionen vor 1.1.1. Sie ermöglicht autorisierten Clients durch unzureichende Validierung von benutzerdefinierten Parametern und Funktionen auf Root- oder Namespace-Ebene, einen Denial-of-Service (DoS)-Angriff auszuführen. Durch das Aufrufen dieser Entitäten auf nicht unterstützten Ebenen kann der SurrealDB-Server zum Absturz gebracht werden.
Betroffene Systeme
Betroffen sind SurrealDB-Versionen vor 1.1.1. Die genaue Liste betroffener Versionen umfasst alle Releases unterhalb von Version 1.1.1. Administratoren sollten ihre Installationen ĂĽberprĂĽfen und aktualisieren.
Technische Details
Die Vulnerabilität entsteht durch mangelnde Input-Validierung bei der Verarbeitung von Custom-Funktionen und -Parametern. Der Parser validiert nicht ordnungsgemäß, ob diese Entitäten auf den angeforderten Ebenen (Root oder Namespace) invozierbar sind. Ein authentifizierter Angreifer kann diese Schwachstelle ausnutzen, indem er gezielt formatierte Anfragen an den Server sendet, die Custom-Funktionen auf unsupported Ebenen aufrufen.
Dies führt zu einer unkontrollierten Exception im Server-Prozess, die zu einem Panic und dem anschließenden Serverabsturz führt. Der Angriffsvektor ist netzwerkbasiert und erfordert eine gültige Authentifizierung. Dies beschränkt das Risiko auf legitime Benutzer mit Datenbankzugriff.
Empfohlene Massnahmen
- Update durchführen: Aktualisieren Sie SurrealDB auf Version 1.1.1 oder höher
- Zugriffskontrolle: Beschränken Sie Datenbankzugriffe auf vertrauenswürdige Benutzer
- Monitoring: Implementieren Sie Logs für ungewöhnliche Funktionsaufrufe
- Backup: Sichern Sie Ihre Datenbanken vor der Aktualisierung
Bewertung
CVSS Score: 6.5 (Medium) – Die Lücke wird als mittelschwer eingestuft. Obwohl ein Denial-of-Service möglich ist, erfordert die Ausnutzung gültige Authentifizierungsdaten. Der fehlende Patch erfordert sofortige Aufmerksamkeit für betroffene Umgebungen. Eine zeitnahe Aktualisierung wird dringend empfohlen.
„`