脆弱性情報（JVN）検索・一覧

SurrealDBのバージョン3.2.0未満には、PERMISSIONS句内のデータ変更ステートメントが強制適用を無効化して実行される権限バイパスの脆弱性があります。保護された操作を実行する権限を持つ攻撃者は、PERMISSIONS句にCREATE、UPDATE、DELETE、またはUPSERTステートメントを埋め込むことで、自身が権限を持たないテーブルに書き込みを行い、意図しない書き込みやデータの破損を引き起こす可能性があります。

SurrealDBのバージョン3.2.0より前のバージョンには、SurrealMLヘッダーパーサーにサービス拒否の脆弱性が存在しています。この脆弱性により、認証されたOwnerロールのユーザーが、不正な形式の.surmlファイルを/ml/importエンドポイントにアップロードすることでサーバーをクラッシュさせることができます。攻撃者は数値以外のinput-dimensionsやその他の不正なヘッダーフィールドを供給し、検証されていないunwrap呼び出しを誘発させることでパニックを引き起こし、サーバープロセス全体を中断させ、すべてのデータベースに対するサービスを拒否させます。

SurrealDB 3.2.0以前のバージョンには、JWKSフェッチャーにサーバー側リクエスト偽造の脆弱性が存在します。この脆弱性は、解決されたIPアドレスをチェックせずに、URLのホスト名文字列のみを許可リストと照合することに起因しています。Ownerロールの攻撃者は、プライベートまたはループバックアドレスに解決される許可リストに登録されたホスト名をアクセスメソッドに指定でき、その結果としてサーバーが直接のURLアクセスではブロックされる内部アドレスに対してGETリクエストを発行してしまいます。

SurrealDBのバージョン3.1.5以前には、認証済みユーザーが長い演算子の連鎖を含むクエリによってサーバーをクラッシュさせることができるサービス拒否の脆弱性があります。攻撃者は何万もの連鎖された演算子を含むクエリを送信でき、これにより表現ツリーが無制限に拡大し、クエリ処理中にスタックオーバーフローが発生して、プロセス全体が中断されます。

SurrealDBのバージョン3.1.0から3.1.5未満では、グラフエッジまたはバックリファレンスのトラバーサルを通じてレコードにアクセスする際に、フィールドレベルのSELECT権限が適切に強制されていません。テーブルレベルのSELECT権限を持つ攻撃者は、直接的なテーブルスキャンを行うのではなく、グラフトラバーサルを通じてレコードを具現化することで、フィールドレベルの権限によって隠されているフィールド値を読み取ることが可能です。

SurrealDBのバージョン3.1.4より前のバージョンでは、レコードユーザーに対する配列要素（field.*）のSELECT権限を適切に強制できず、表示を隠すべき配列要素が漏洩してしまいます。レコードスコープのアクセス権を持つ攻撃者は、権限フィルタリング時の誤ったインデックス処理を悪用することで、要素レベルの権限で拒否されるはずの配列要素を読み取ることが可能です。

SurrealDB バージョン 3.1.0 未満は、USE NS および USE DB ステートメントを処理する際に、DEFINE NAMESPACE または DEFINE DATABASE の権限を検証しません。認証されていない攻撃者は、USE コマンドを発行することで任意の名前空間およびデータベースを作成でき、RPC の use メソッドおよび SurrealQL エグゼキューターにおける認可チェックを回避してしまいます。

SurrealDBのバージョン3.1.0より前には、インデックス付きCOUNT高速経路においてフィールドレベルのSELECT権限を回避できる脆弱性が存在していました。攻撃者はフィールドレベルのSELECT制限がかかっているインデックス付きフィールドに対してCOUNTクエリを実行し、繰り返し推測を行うことで制限されたフィールドの値を確認または復元することが可能です。

SurrealDB 3.1.0より前のバージョンには、HTTPリダイレクト処理における権限回避の脆弱性が含まれており、認証済みユーザーがポートスコープの--deny-netルールを回避できる可能性があります。攻撃者は許可されたホスト名から拒否されたホスト:ポートの組み合わせへHTTPリダイレクトを連鎖させることができ、リダイレクトポリシーの評価時にポート情報が破棄されるため、リダイレクトが実行される問題があります。

SurrealDBのバージョン3.1.5以前には、HTTPリダイレクトをフォローする際にリダイレクト先のネットワーク機能を再検証しないJWKSフェッチャーにサーバーサイドリクエストフォージェリの脆弱性が存在します。オーナーロールを持つ攻撃者は、許可リストにあるホストを指すJWKSのURLを設定し、そのホストがブロックされた内部アドレスへリダイレクトすることでネットワークアクセス制御を回避できます。

SurrealDBのバージョン3.1.0より前には、認証されたユーザーが編集可能な本文フィールドに書き込むことで、複合レコードIDフィールドの値を偽装できる認可バイパスの脆弱性が存在していました。攻撃者はテナントの分離などIDコンポーネントでアクセスを制御する権限ルールを回避し、同名の本文フィールドに偽装値を設定することで、権限チェックが不変のIDキーではなく誤って読み取る値を利用し、不正アクセスを行うことが可能です。

SurrealDBのバージョン3.1.0より前のバージョンでは、グラフエッジや逆参照をたどる際にテーブルのSELECT権限が適切に適用されません。そのため、認証されたユーザーは、対象テーブルのSELECT句に関する権限に関係なく、グラフエッジを通じて到達可能な任意のテーブルからレコードを読み取ることができます。

SurrealDBのバージョン3.1.0より前には、認証されたUPDATE権限を持つユーザーが、フィールドレベルのSELECT権限で隠されたフィールド値をエラーメッセージを通じて読み取れる情報漏洩の脆弱性が存在していました。攻撃者は、隠されたフィールドに対して算術演算や拡張操作をトリガーし、エラー応答内に生のオペランド値を埋め込むことで、フィールドレベルのアクセス制御を回避できてしまいます。

SurrealDBのバージョン3.1.0以前には、LIVE SELECTサブスクリプションにおいて認証バイパスの脆弱性が存在していました。この脆弱性は、$value、$before、$after、または$eventを参照する権限式が、実際のドキュメントではなく攻撃者が操作可能なバインディングに対して評価されることに起因しています。認証されたサブスクライバーは、これらのパラメータ名に選択した値をバインドし、LIVE SELECTクエリを登録することで、SELECTの権限式によって隠されるべきレコードの通知を受け取ることが可能となります。

SurrealDBのバージョン3.1.0以前には、JSON Patch操作におけるフィールドレベルの権限バイパスの脆弱性が存在し、認証済みユーザーが保護されたフィールドを読み取ることが可能でした。攻撃者は、コピーまたはムーブ操作において空のfromポインタを使用したUPDATE PATCHを利用することで、フィールドレベルのSELECT権限で制限されているものを含むすべてのレコードフィールドを、攻撃者が指定した宛先フィールドに複製することができます。

SurrealDB 3.1.0 より前のバージョンには、RELATE ステートメントに認証回避の脆弱性が存在します。これにより、CREATE 権限を持つ認証済みユーザーが UPDATE 権限なしで既存のエッジレコードを上書きできてしまいます。攻撃者は、既存のエッジIDを指す SET id 節を含む RELATE ステートメントを発行すると、ストレージ層が操作を拒否する代わりに対象レコードを静かに上書きしてしまいます。

SurrealDB 3.1.0 未満のバージョンでは、セッション状態が変更された際に LIVE SELECT サブスクリプションの認証状態を更新できません。攻撃者は接続が切断されるまで、取り消されたまたは期限切れのセッション資格情報の下でリアルタイム通知を受け続けることが可能です。

SurrealDBのバージョン3.1.0より前には、サービス拒否（DoS）の脆弱性があります。悪意のあるLIVEクエリがWHERE句で評価エラーを引き起こすと、監視されているテーブルに対するすべてのCREATE、UPDATE、DELETE操作が失敗します。認証済みのユーザーは、SELECT権限のみを持っていても、評価エラーを引き起こすLIVEクエリを登録することで、クエリが終了するかセッションが切れるまで、rootを含むすべてのユーザーのそのテーブルへの書き込み操作を妨げることができます。

SurrealDB 3.1.0未満のバージョンでは、SELECT文のユーザー提供によるWHERE句（およびUPDATE、UPSERT、INSERT ON DUPLICATE KEY UPDATE、RELATEの更新系ステートメントにおけるSET/MERGE/CONTENT/PATCH句）を完全なレコードデータに対して評価し、その後でPERMISSIONS FOR SELECT WHERE制限を適用します。この評価順序の欠陥により、認証済みユーザー（RecordユーザーやScopeユーザーを含む）は、自身が認証されたデータベース内の任意のテーブルの全内容を読み取ることが可能になり、テーブルレベルの権限チェックを回避できます。情報漏洩はスクリプト機能が有効（--allow-scripting）な場合に最も直接的ですが、スクリプトがなくてもSurrealQLのTHROW文やタイミングベースのサイドチャネルを利用することで発生する可能性があります。この脆弱性は攻撃者が現在アクセスしているデータベースに限定されており、名前空間やデータベースの隔離境界を越えることはありません。

SurrealDBのバージョン3.1.0以前には、KILLステートメントに認可回避の脆弱性が存在し、認証済みのデータベースユーザーが他のユーザーのLIVE SELECT購読を終了させることができました。攻撃者はターゲットとなるライブクエリのUUIDを指定したKILLステートメントを発行することで、所有権の検証を行わずに他のユーザーのリアルタイムデータ購読を妨害することが可能です。

SurrealDB 3.1.0以前のバージョンでは、ネストされた型注釈を処理する際に、タイプ／種類パーサーでの再帰深度制限が適切に強制されていません。認証された攻撃者は、深くネストされた型注釈を含むクエリを送信することで、サーバーのメモリを枯渇させてプロセスをクラッシュさせることが可能です。

SurrealDB 3.1.0 未満のバージョンでは、JWT アクセスメソッドが ALGORITHM ES512（DEFINE ACCESS ... TYPE JWT ALGORITHM ES512）で設定されている場合に、ES384 アルゴリズムに静かに置き換わります。これは、基盤となる jsonwebtoken クレート（v10.x）に ES512 バリアントが存在せず、マッピングがエラー、警告、ログメッセージなしにデフォルトで ES384 に設定されるためです。ES512 用の正しい P-521 キーを提供したユーザーは、ES384（P-384 を期待）との曲線不一致により認証ハンドシェイクに失敗し、また外部システムも本物の ES512 署名を期待しているため、トークンは拒否されます。この脆弱性を悪用してトークンを偽造したり、データの機密性や完全性を侵害したりすることはできません。なぜなら、ES384 は依然として暗号学的に強力であるためです。

SurrealDBのv2.6.1以前（およびv3.0.0-beta.3以前）には、組み込みのJavaScriptスクリプトエンジンにサービス拒否の脆弱性が存在します。このエンジンは、デフォルトで無効化されている--allow-scripting機能によって有効化されます。任意のクエリを実行できるユーザーは、--allow-guestsが有効な場合には認証されていないゲストも含めて、組み込みの文字列関数を使用して大きな文字列を作成し、それをJavaScript実行環境に渡してコンパイルさせることで、基盤となるQuickJS-NGエンジンのヌルポインタ参照を引き起こすことができます。これにより、サーバープロセスはグレースフルシャットダウンなしに即座に終了し、手動で再起動しなければなりません。この問題は、rquickjsの依存関係をv0.9.0からv0.11.0に更新することで修正されました。

Firefox for AndroidのWebExtensionsコンポーネントにおいて、クリックジャッキングの問題が発生していました。この脆弱性はFirefox 153で修正されました。