حجب الخدمة في SurrealDB قبل الإصدار 3.3.0 عبر التكرار غير المحدود في تسلسل val::Value

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي SurrealDB قبل الإصدار 3.3.0 على ثغرة تكرار غير محدود تسمح للمستخدمين المصدق لهم بإيقاف عملية surreald عن طريق تفعيل فيضان في المكدس على قيم متداخلة بشكل عميق. يمكن للمهاجمين تشغيل عبارات UPDATE بشكل متكرر لتغليف مصفوفة مخزنة داخل نفسها، ثم تنفيذ SELECT أو EXPORT، مما يتسبب في حجب خدمة مستمر لجميع المستأجرين.

المعالجة

1. أحصِ جميع نشرات surrealdb surrealdb، بما فيها بيئات الاختبار.
2. رقِّ surrealdb surrealdb إلى الإصدار 3.3.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/surrealdb/surrealdb/security/advisories/GHSA-rpmq-gq3f-h6jg
• تحذيرhttps://www.vulncheck.com/advisories/surrealdb-before-3.3.0-dos-via-unbounded-recursion-in-val-value-serialization