PT-2024-40357 · Surrealdb · Surrealdb

Publicado 2024-01-18 · Atualizado 2024-01-18

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do SurrealDB anteriores à 1.1.0

Descrição

O problema afeta a API REST HTTP do SurrealDB, onde os cabeçalhos ID, DB e NS não são analisados corretamente quando contêm caracteres especiais, causando um erro grave que trava o servidor do SurrealDB, levando a uma negação de serviço. Um cliente não autenticado pode explorar essa vulnerabilidade enviando uma solicitação HTTP com cabeçalhos afetados contendo caracteres especiais. Esse problema afeta apenas o binário do SurrealDB, não a biblioteca do SurrealDB.

Recomendações

Para versões anteriores à 1.1.0, atualize para a versão 1.1.0 ou posterior para resolver o problema. Como solução temporária, considere limitar o acesso não confiável à API HTTP REST do SurrealDB, a menos que seja necessário para a aplicação. Além disso, certifique-se de que o processo do SurrealDB esteja configurado para reiniciar automaticamente após uma falha, a fim de minimizar o impacto da negação de serviço.

Correção

Identificadores relacionados

GHSA-M24X-R6Q3-2VP9

Produtos afetados

Surrealdb

Referências · 5

• https://github.com/surrealdb/surrealdb · Nota
• https://github.com/surrealdb/surrealdb/pull/2985 · Nota
• https://github.com/surrealdb/surrealdb/commit/a70ddb2e2aed2453730b81781e426486247609cb · Nota
• https://github.com/surrealdb/surrealdb/security/advisories/GHSA-m24x-r6q3-2vp9 · Nota
• https://osv.dev/vulnerability/GHSA-m24x-r6q3-2vp9 · Aviso do Fabricante