JVNDB-2026-028485

SurrealDBにおける無限ループに関する脆弱性

SurrealDBのバージョン2.0.5未満、2.1.xの2.1.5未満、および2.2.xの2.2.2未満では、認証されたユーザーがROOT、ネームスペース、またはデータベースレベルでOWNERまたはEDITOR権限を持っている場合、ネストされたFORループを使ってDEFINE FUNCTIONを介してカスタムデータベース関数を定義できます。単一ループの反復回数には制限がありますが、複数のループをネストすること（例えば、それぞれが1,000,000回の反復を持つ）には制限がありません。そのため、攻撃者はサーバーのCPU時間をすべて消費する関数を実行できます。設定されたタイムアウトは実行を停止させないため、サーバーが手動で再起動されるまで他のクエリや接続に対して応答不能になります。

SurrealDB

• SurrealDB 2.0.5 未満
• SurrealDB 2.1.0 以上 2.1.5 未満
• SurrealDB 2.2.0 以上 2.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : CPU exhaustion via custom functions result in total DoS  Advisory  surrealdb/surrealdb  GitHub

VulnCheck

• VulnCheck : SurrealDB before 2.2.2 CPU Exhaustion via nested FOR loops  | Advisories | VulnCheck

1. 無限ループ(CWE-835) [その他]

1. CVE-2025-71397

1. National Vulnerability Database (NVD) : CVE-2025-71397

• [2026年08月17日]
    掲載