Vulnérabilité dans surrealdb (CVE-2024-58362, CVSS 8.8)

Résumé

Vulnérabilité dans surrealdb (CVE-2024-58362). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via SIGNIN. Atténuation : mise à jour vers 2.0.0-beta.3 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Duplicate Advisory

This advisory has been withdrawn because it is a duplicate of GHSA-64f8-pjgr-9wmr. This link is maintained to preserve external references.

Original Description

SurrealDB before 1.5.5 (and 2.0.0-beta before 2.0.0-beta.3) accepts an arbitrary object in the signin and signup operations of the RPC API without recursively validating it for non-computed values. When a record access method defines a SIGNIN or SIGNUP query and the RPC API is exposed to untrusted users, an unauthenticated attacker can encode a binary object containing a subquery using the bincode serialization format and supply it in place of credentials. The subquery is then executed within the database owner's SIGNIN/SIGNUP query under a system user session with the editor role, allowing the attacker to select, create, update, and delete non-IAM resources (though not view the query results directly, and not affect IAM resources, which require the owner role).

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2024-58362 a été découverte dans surrealdb.
Des attaquants peuvent cibler un point d'entrée spécifique comme SIGNIN à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.8/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « surrealdb CVE-2024-58362 » sur le site de l'éditeur.

CVE-2024-58362 (surrealdb) — CWE-75 / CVSS v3 8.8
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : SIGNIN / SIGNUP / signin / signup
Versions affectées : <=1.5.4,<=2.0.0-beta.2
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

SurrealDBのRPC APIにおけるサインイン/サインアップ操作の入力が再帰的に検証されない脆弱性。

📍 Périmètre concerné

SurrealDBバージョン1.5.5未満および2.0.0-beta.3未満。

🔥 Gravité

高。攻撃者がbincodeシリアル化フォーマットを通じて非認証で操作可能。

🔧 Comment corriger

バージョン1.5.5もしくは2.0.0-beta.3以上にアップデートする。

🛡️ Contournement

情報なし

🔍 Détection

サーバーログを確認し、不審なクエリを特定する。

Paquets affectés

rust surrealdb

[{"type":"ECOSYSTEM","events":[{"introduced":"0"}]}]

crates.io surrealdb

[{"type":"SEMVER","events":[{"introduced":"0"}]}]

crates.io surrealdb-core

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"1.5.2"}]}]