CVE-2024-58368

SurrealDB: DoS przez nieprawidłowe nagłówki HTTP REST API

CVSS 8.7v4.0pub. 2026-07-18upd. 2026-08-13

SurrealDB w wersjach przed 1.1.0 nie przetwarza poprawnie nagłówków ID, DB i NS w żądaniach HTTP REST API zawierających znaki specjalne. Nieuwierzytelniony atakujący może zdalnie spowodować awarię serwera poprzez spreparowane żądanie HTTP.

▸ Pokaż oryginał (EN)

SurrealDB versions before 1.1.0 fail to properly parse the ID, DB, and NS headers in HTTP REST API requests containing special characters. Unauthenticated attackers can send crafted HTTP requests with malformed header values to trigger an uncaught exception that crashes the server.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego parsowania wartości nagłówków ID, DB oraz NS w żądaniach HTTP REST API. Gdy wartości tych nagłówków zawierają znaki specjalne, aplikacja nie obsługuje błędu parsowania w sposób kontrolowany, co prowadzi do niewyłapanego wyjątku (uncaught exception) zgodnie z klasyfikacją CWE-248. Atakujący nie musi posiadać żadnych poświadczeń — wystarczy wysłać spreparowane żądanie HTTP z odpowiednio zmodyfikowanymi nagłówkami, aby wywołać awarię procesu serwera.

Skutki

Atakujący może całkowicie zatrzymać działanie serwera SurrealDB, powodując niedostępność usługi (Denial of Service). Brak wymaganego uwierzytelnienia znacząco zwiększa ryzyko masowego wykorzystania podatności.

Mitygacja

Należy zaktualizować SurrealDB do wersji 1.1.0 lub nowszej. Szczegóły dostępne w oficjalnym security advisory pod adresem: https://github.com/surrealdb/surrealdb/security/advisories/GHSA-m24x-r6q3-2vp9

Kogo dotyczy

SurrealDB w wersjach wcześniejszych niż 1.1.0

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X