„`html
Zusammenfassung
ArcadeDB-Versionen vor 26.8.1 weisen eine kritische Path-Traversal-Anfälligkeit im POST /api/v1/server-Endpoint auf. Die Schwachstelle ermöglicht es authentifizierten Root-Benutzern, durch unzureichende Validierung von Datenbanknamen Dateien außerhalb des konfigurierten Datenbankverzeichnisses zu schreiben und zu löschen. Der CVSS-Score von 8.7 unterstreicht die hohe Kritikalität dieser Sicherheitslücke.
Betroffene Systeme
ArcadeDB: Alle Versionen vor 26.8.1
Voraussetzungen: Die Anfälligkeit erfordert Root-Authentifizierung, was das Risiko auf berechtigte Benutzer mit administrativen Rechten beschränkt.
Technische Details
Die Anfälligkeit liegt in der unzureichenden Eingabevalidierung der CREATE DATABASE- und DROP DATABASE-Befehle. Der Endpoint sanitiert Datenbanknamen nicht auf Directory-Traversal-Sequenzen wie „../“.
Angriffsmechanismus: Ein authentifizierter Root-Benutzer kann Dateinamen mit Pfad-Traversal-Zeichen ĂĽbergeben, um:
- WillkĂĽrliche Dateien auĂźerhalb des Datenbankverzeichnisses zu erstellen
- Verzeichnisse rekursiv zu löschen, auf die der Server-Prozess Zugriff hat
- Möglicherweise Systemdateien oder Konfigurationen zu manipulieren
Beispiel-Payload: Eine Datenbankerstellung mit Namen „../../..//sensitive/data“ wĂĽrde den relativen Pfad auflösen und auĂźerhalb der Sandbox operieren.
Empfohlene MaĂźnahmen
- Sofort: Zugriff auf /api/v1/server-Endpoint auf vertrauenswürdige IP-Adressen beschränken
- Kurzfristig: Root-Berechtigungen fĂĽr ArcadeDB-Prozesse minimieren und Least-Privilege-Prinzipien anwenden
- Mittelfristig: Update auf ArcadeDB 26.8.1 oder neuer durchfĂĽhren, sobald verfĂĽgbar
- Monitoring: API-Anfragen mit verdächtigen Datenbanknamen überwachen
Bewertung
CVSS 8.7 (High): Hohe Integrität und Verfügbarkeitsauswirkungen. Die Anfälligkeit erfordert Authentifizierung, was die Ausnutzbarkeit beschränkt, aber insider threats ernst nehmen sollte. Das Fehlen eines Patches verstärkt die Dringlichkeit von Mitigationsmaßnahmen.
„`