Μια σοβαρή ευπάθεια έχει ανακαλυφθεί στο Dgraph, μια δημοφιλής βάση δεδομένων γραφημάτων ανοιχτού κώδικα. Αυτή η απειλή, που παρακολουθείται ως CVE-2026-34976, έχει βαθμολογία CVSS 10.0, γεγονός που την καθιστά κρίσιμη για την ασφάλεια οργανισμών που εξαρτώνται από αυτήν.
Η ευπάθεια αυτή επιτρέπει σε μη αυθεντικοποιημένους απομακρυσμένους επιτιθέμενους να παρακάμψουν όλα τα επίπεδα προστασίας, να αντικαταστήσουν βάσεις δεδομένων και να αποκτήσουν πρόσβαση σε ευαίσθητες πληροφορίες που μπορεί να οδηγήσουν σε επισφαλείς καταστάσεις, όπως επιθέσεις πλαστογράφησης αιτημάτων από την πλευρά του διακομιστή (SSRF).
Η ανακάλυψη αυτής της κρίσιμης ευπάθειας αποδίδεται στους ερευνητές ασφαλείας Matthew McNeely και Koda Reef, οι οποίοι προειδοποιούν για τους κινδύνους που αντιμετωπίζουν οργανισμοί που έχουν εκθέσει τα διαχειριστικά σημεία του Dgraph στο Διαδίκτυο.
Ευπάθεια βάσης δεδομένων Dgraph
Η ρίζα του προβλήματος εντοπίζεται σε μια κλασική περίπτωση έλλειψης εξουσιοδότησης (CWE-862) στο API διαχείρισης GraphQL του Dgraph. Όπως καταδείχθηκε, οι διαχειριστικές λειτουργίες του συστήματος προστατεύονται από μια διαμόρφωση ενδιάμεσου λογισμικού που επιβάλλει έλεγχο ταυτότητας, γνωστή και ως “Guardian of the Galaxy”, καθώς και από μια λίστα επιτρεπόμενων IP και εργαλεία καταγραφής.
Ωστόσο, ένα σφάλμα στη διαμόρφωση οδήγησε στην παράληψη μιας κρίσιμης διαχειριστικής εντολής, της restoreTenant, από αυτή τη διαδικασία. Κατά συνέπεια, όταν το σύστημα επεξεργάζεται αιτήματα restoreTenant, δεν εφαρμόζονται οι απαραίτητοι κανόνες ασφαλείας.
Συνέπειες της Ευπάθειας
Η ευπάθεια επιτρέπει στους εισβολείς να εκτελούν εντολές restoreTenant χωρίς να περνούν από καμία διαδικασία αυθεντικοποίησης. Ακολουθούν μερικοί από τους κινδύνους που απορρέουν από αυτή την κατάσταση:
- Αλλαγή βάσεων δεδομένων: Οι επιτιθέμενοι μπορούν να αναγκάσουν το Dgraph να επανακαθορίσει τη βάση δεδομένων του, αντικαθιστώντας την με κακόβουλα αντίγραφα ασφαλείας.
- Εσωτερικές ανιχνεύσεις: Χρησιμοποιώντας τοπικές διαδρομές αρχείων (π.χ. file://), οι επιτιθέμενοι μπορούν να σαρώνουν καταλόγους του διακομιστή και να αποκτούν πρόσβαση σε ευαίσθητα δεδομένα, όπως κωδικούς πρόσβασης και διακριτικά ασφαλείας.
- SSRF Επιθέσεις: Οι επιτιθέμενοι μπορούν να πείσουν τη βάση δεδομένων να υποβάλλει HTTP αιτήματα προς εσωτερικά δίκτυα, εκθέτοντας ευαίσθητες υπηρεσίες πίσω από τείχη προστασίας.
Μετριασμοί
Αυτή η ευπάθεια επηρεάζει τις εκδόσεις Dgraph 25.3.0 και προηγούμενες, με καταστροφικές συνέπειες για την απορρήτου και την ακεραιότητα των δεδομένων. Ειδικότερα, απαιτεί καθόλου αλληλεπίδραση χρήστη, γεγονός που την καθιστά εξαιρετικά εκμεταλλεύσιμη. Μέχρι την αποκάλυψη της ευπάθειας, δεν υπήρχε διαθέσιμη διορθωμένη έκδοση του Dgraph.
Ωστόσο, σύμφωνα με τους ερευνητές, η διόρθωση του σφάλματος είναι απλή. Οι προγραμματιστές απλώς πρέπει να προσθέσουν τη μετάλλαξη restoreTenant στη λίστα των διαχειριστικών ενδιάμεσων λογισμικών.
Μέχρι την ανάπτυξη μιας επίσημης ενημέρωσης, οι διαχειριστές δικτύου συνιστάται να υιοθετήσουν άμεσες προφυλάξεις. Σύμφωνα με την επισήμανση ασφαλείας στο GitHub, πρέπει να προχωρήσουν σε παρακολούθηση και αμυντικές ενέργειες.
Επιπρόσθετα, είναι ζωτικής σημασίας οι οργανισμοί να απομονώνουν ευσυνείδητα τις θύρες διαχείρισης Dgraph (συνήθως θύρα 8080) από το δημόσιο Διαδίκτυο και να περιορίζουν την πρόσβαση μόνο σε αξιόπιστες εσωτερικές IP.