🟠 高危 | CVE-2026-63747 — SurrealDB versions before 3.1.0 contain a denial o...

发布于：2026/07/20更新于：2026/07/27📖 8分钟👁️ 29 次阅读

🟠 【深度分析】高危安全漏洞：CVE-2026-63747

CVSS 评分: 高危（8.7）🟠　　状态: Analyzed　　发布时间: 2026-07-20

🔍 技术细节速览

字段	值
CVE ID	`CVE-2026-63747`
CVSS 评分	8.7 🟠
严重程度	高危
CVSS 向量	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
CWE 分类	`CWE-248`
发布时间	2026-07-20
最后更新	2026-07-23
状态	Analyzed
数据来源	disclosure@vulncheck.com

以下是基于 NVD 提供的 CVE-2026-63747 漏洞数据生成的深度安全分析文章。

⚠️ CVE-2026-63747 深度分析：SurrealDB RPC 处理器未捕获异常导致拒绝服务

严重等级	高危
CVSS 4.0 评分	8.7
CVSS 向量	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N`

漏洞概述

CVE-2026-63747 是 SurrealDB 数据库核心组件中的一个拒绝服务（Denial of Service, DoS）漏洞。攻击者无需任何身份认证，仅通过向 SurrealDB 的 /rpc WebSocket 端点发送特制的畸形消息，即可触发服务器进程的 panic（即未捕获的致命异常），导致 SurrealDB 进程崩溃，从而完全中断数据库服务。

受影响版本为 SurrealDB 3.1.0 之前的所有版本。该漏洞由 disclosure@vulncheck.com 报告，目前 SurrealDB 官方已在 3.1.0 版本中修复。

受影响组件与版本

组件	受影响版本范围	修复版本
SurrealDB Server	< 3.1.0	3.1.0

SurrealDB 的客户端工具（如 surreal CLI）不受影响，因为漏洞位于服务器的 RPC 处理函数中。

漏洞原理分析

根据 NVD 提供的漏洞描述和 CWE-248（Uncaught Exception）分类，该漏洞的成因如下：

1. 触发点

SurrealDB 提供了基于 WebSocket 的 RPC（远程过程调用）接口，默认监听在 /rpc 路径。当客户端通过 WebSocket 发送一个包含 db（数据库）参数但没有同时提供 namespace（命名空间）参数的请求时，服务器内部的 RPC 处理函数会进入一个未捕获的异常路径，导致程序直接 panic。

2. 根本原因

在 SurrealDB 的 RPC 服务逻辑中，对于建立数据库连接（use handler）的请求，代码可能假设 namespace 和 db 必须同时存在。当 db 单独被设置时，代码内部试图执行一个需要完整命名空间上下文的操作，但缺少了必要的 namespace 信息，从而引发了一个 unwrap() 或 expect() 的 panic（Rust 语言中典型的未处理错误处理模式）。这种 panic 导致整个服务器线程终止，进而使进程退出。

注意：由于 NVD 数据未公开详细代码，上述分析基于一般 Rust 服务端编程模式及 CWE-248 的典型表现。实际更细节的触发条件（如消息格式、字段顺序）需参考官方安全公告或补丁代码。

3. 攻击向量

攻击者通过 WebSocket 协议直接连接到目标 SurrealDB 服务的 /rpc 端点（默认端口 8000）。发送类似以下格式的畸形 JSON-RPC 请求（示例，可能不精确）即可触发：

{
  "method": "use",
  "params": {
    "db": "my_database"
  }
}

此类请求中缺少了预期的 namespace 字段，而服务器未做充分校验，直接处理导致 panic。

影响评估

攻击难度与条件

维度	评估	备注
攻击路径	远程网络（AV:N）	无需物理接触或局域网，WAN 即可
攻击复杂度	低（AC:L）	无需特殊工具，常规 WebSocket 客户端即可构造请求
权限要求	无（PR:N）	完全无需认证，匿名即可攻击
用户交互	无（UI:N）	攻击完全自动发起，无需诱导管理员操作
攻击前置条件	无（AT:N）	不依赖任何特定环境配置，只要服务暴露即可

潜在后果

可用性完全丧失（VA:H）：每次成功攻击都会导致 SurrealDB 进程崩溃，直到管理员手动重启服务。攻击者可以持续发送畸形请求，实现长效拒绝服务。
机密性与完整性不受影响（VC:N / VI:N）：该漏洞不会导致数据泄露或篡改，仅破坏服务可用性。
服务中断时间：从崩溃到恢复需要管理员介入（重启进程），若进程未配置自动重启，则影响时间较长。
横向风险：虽然不直接导致远程代码执行，但在容器化环境中，进程崩溃可能导致容器不断重启（如 Kubernetes 的 CrashLoopBackOff），间接影响依赖该数据库的其他服务。

修复建议

官方补丁

升级 SurrealDB 至 3.1.0 或更高版本。官方在该版本中修复了 RPC 处理器对缺少 namespace 的请求的处理逻辑，在 panic 之前增加了参数校验或通过 Result 方式优雅处理错误。

# 使用 Docker 升级示例
docker pull surrealdb/surrealdb:3.1.0

临时缓解措施

在无法立即升级的情况下，建议采取以下措施：

网络访问控制
限制对 /rpc 端点的访问，仅允许可信的客户端 IP 地址访问 SurrealDB 的 WebSocket 端口。
反向代理 WAF 过滤
在 Nginx / HAProxy 等反向代理前添加规则，拦截包含 "db" 字段但缺少 "namespace" 字段的 JSON-RPC 消息（注意：需要了解请求具体结构，可能影响正常使用）。
进程监控与自动重启
配置 Supervisor、systemd 或容器编排工具（如 Docker restart policy、Kubernetes liveness probe）以在进程崩溃后自动重启，缩短服务中断时间。
关闭非必需 RPC 接口
如果业务不需要远程 RPC 访问，可禁用 WebSocket 服务或将 /rpc 绑定到本地回环地址（127.0.0.1）。

参考资料

类型	链接/编号
CVE 详情	NVD - CVE-2026-63747
CWE 分类	CWE-248: Uncaught Exception
SurrealDB 官方安全公告	待发布（可关注 SurrealDB 安全页面）
CVSS v4.0 简要评估	利用简单（AC:L），影响仅可用性（VA:H），整体高危 8.7 分

免责声明：本文内容基于 NVD 公开数据及通用安全知识分析，具体利用细节和补丁代码需参考官方发布信息。建议用户尽快按照官方指引进行版本升级，以确保系统安全。

💬 评论