SurrealDB: Mandantenübergreifender Zugriff über USE-Anweisung
Zusammenfassung
SurrealDB vor 3.3.0 erlaubt es einem Benutzer mit gültigen Zugangsdaten für einen Namespace, eine Datenbank oder einen Record-Scope, mit der SurrealQL-Anweisung USE auf einen anderen Mandanten derselben Instanz zu wechseln. Von dort aus kann der Angreifer Zeilen in Tabellen lesen, erstellen, ändern und löschen, deren PERMISSIONS dies erlauben, zum Beispiel PERMISSIONS FULL. Anonymer Zugriff reicht dafür nicht aus, und Tabellen, deren PERMISSIONS die Operation verweigern, bleiben geschützt.
Betroffen
- SurrealDB-Versionen vor 3.3.0
- Herstellerhinweis: Alle Versionen unterhalb von 3.3.0 sind betroffen
Behoben in
- Auf SurrealDB 3.3.0 oder neuer aktualisieren. Der Hersteller gibt an, dass die Korrektur in 3.3.0 enthalten und standardmässig aktiviert ist.
Umgehung
- Der Hersteller dokumentiert keine Workaround-Lösung.
- Auf gemeinsam genutzten Instanzen Mandanten durch getrennte Deployments statt durch Namespace- oder Datenbankgrenzen isolieren.
- Bis zur Aktualisierung Namespace-, Datenbank- und Record-Zugangsdaten nur Parteien ausstellen, denen alle Mandanten der Instanz vertraut werden.
- PERMISSIONS WHERE-Klauseln verwenden, die die Identität des Aufrufers prüfen (zum Beispiel $auth), statt PERMISSIONS FULL. Dies reduziert das Risiko, stellt die Grenze aber nicht vollständig wieder her.
Ausnutzung
- Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt. Der Status im CISA KEV wurde nicht geprüft.
- EPSS 0.00258 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Öffentlicher Proof-of-Concept-Code: Unbekannt.
Unsere Empfehlung
- Alle SurrealDB-Instanzen auf 3.3.0 oder neuer aktualisieren. Die gleiche Korrektur deckt auch die verwandten Advisories GHSA-vx2p-7hhm-wv62, GHSA-w5v9-jc5f-5rmc und GHSA-3vw5-j55x-486h ab.
- Auf gemeinsam genutzten Instanzen prüfen, welche Konten Namespace-, Datenbank- oder Record-Zugriff haben, und nicht benötigte Konten entfernen.
- PERMISSIONS FULL und andere grosszügige Tabellenregeln prüfen und durch identitätsbasierte Prüfungen ersetzen.
- Prüfen, ob SurrealDB-Endpunkte (HTTP /sql, WebSocket /rpc) von ausserhalb des Netzwerks erreichbar sind, und den Zugriff einschränken.
- Logs auf unerwartete USE-Anweisungen oder Namespace-Wechsel überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-2v9j-645m-pcrq (vendor) github.com
- VulnCheck advisory www.vulncheck.com
- SurrealDB 3.3 release notes surrealdb.com
- GitHub Security Advisory GHSA-w5v9-jc5f-5rmc github.com
- GitHub Security Advisory GHSA-3vw5-j55x-486h github.com
- NixOS tracker issue 573514 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.