SurrealDB 메서드 방식 호출로 --deny-funcs 함수 제한 우회
데이터베이스 서버에서 로그인한 사용자가 금지된 기능을 몰래 쓸 수 있습니다.
요약
SurrealDB 2.0.0 이상 3.3.1 미만에서는 스트리밍 엔진의 메서드 방식 함수 호출에 --deny-funcs 제한이 적용되지 않습니다. 쿼리를 보낼 수 있는 인증된 사용자가 금지된 함수를 실행할 수 있으며, 파일 버킷 데이터도 읽고 쓸 수 있습니다.
해당 조건
- --deny-funcs 제한 사용
- 스트리밍 엔진 사용(3.x 기본)
- 쿼리를 제출할 수 있는 인증된 사용자
대처법
SurrealDB 3.3.1로 업데이트하세요. 3.3.1 미만 버전이 해당합니다.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: github.com (새 탭에서 열림)
- 분석 글: vulncheck.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인