SurrealDB 3.1.5 보안 릴리스…파일 읽기·권한 우회 취약점 수정

SurrealDB 공식 릴리스와 GitHub Security Advisory에 따르면 SurrealDB 3.1.5가 보안 취약점 5건을 수정했다. 이번 릴리스에는 고위험으로 분류된 임의 파일 읽기 취약점과 필드 권한 우회, JWKS URL 처리, 정렬 기반 정보 노출, 서비스 거부 관련 문제가 포함됐다.

가장 높은 등급으로 공개된 항목은 `DEFINE ANALYZER mapper()` 필터를 통한 임의 파일 읽기 취약점이다. GitHub의 SurrealDB 보안 권고는 데이터베이스 `EDITOR` 또는 `OWNER` 역할을 가진 사용자가 SurrealDB 프로세스가 읽을 수 있는 파일 경로를 지정하고, 오류 메시지를 통해 파일 내용을 노출시킬 수 있었다고 설명했다. 해당 권고의 CVSS 3.1 점수는 7.7점, 등급은 High다.

SurrealDB는 3.1.5에서 파일 접근 기본값을 바꿨다. 릴리스 노트에 따르면 `file_allowlist`가 명시적으로 설정되지 않은 경우 파일 접근은 기본적으로 거부된다. 이전에는 빈 allowlist가 모든 경로 접근을 허용하는 결과를 낳을 수 있었지만, 새 동작은 기본 차단으로 변경됐다. `mapper()` 등 파일 기반 analyzer 기능을 쓰는 운영자는 업그레이드 전 허용 경로 설정을 확인해야 한다.

함께 공개된 보통 등급 취약점도 운영 환경에서는 주의가 필요하다. GitHub Advisory Database는 JWKS URL 리다이렉트 처리로 인한 SSRF 가능성, 그래프와 참조 순회를 통한 필드 수준 SELECT 권한 우회, 제한된 필드의 값 순서가 `ORDER BY` 인덱스 경로에서 드러나는 문제, 깊은 연산자 체인으로 인한 서비스 거부 가능성을 각각 공개했다. 패치 버전은 모두 3.1.5로 표시됐다.

SurrealDB는 문서, 그래프, 벡터 검색, 시계열 데이터를 하나의 질의 모델로 다루는 멀티모델 데이터베이스다. 회사는 제품을 AI 에이전트의 컨텍스트 계층으로 소개하고 있으며, 3.1 계열에서도 MCP 서버와 그래프·검색 기능을 강조하고 있다. 이런 데이터 계층은 에이전트 애플리케이션의 메모리와 권한 경계에 연결되기 때문에 파일 접근, 필드 권한, 외부 URL 처리 같은 기본 보안 설정의 영향이 크다.

현재 공개 자료만으로 실제 악용 사례는 확인되지 않았다. 다만 보안 권고가 공개된 만큼 SurrealDB를 직접 운영하거나 애플리케이션에 내장한 팀은 사용 버전과 설정을 확인하고, 3.1.5 이상으로 업데이트하는 것이 필요하다. 특히 `EDITOR`와 `OWNER` 역할을 부여한 계정, 파일 기반 analyzer 사용 여부, JWKS URL 설정, 필드 수준 권한에 의존하는 스키마를 우선 점검해야 한다.

출처: SurrealDB Release Notes https://surrealdb.com/releases/3.1
출처: GitHub Security Advisory https://github.com/surrealdb/surrealdb/security/advisories/GHSA-cc8f-fcx3-gpjr
출처: GitHub Advisory Database https://github.com/advisories/GHSA-h5rg-8p7f-47g2
출처: GitHub Advisory Database https://github.com/advisories/GHSA-hv6h-hc26-q48p
출처: GitHub Advisory Database https://github.com/advisories/GHSA-h4h3-3rfj-x6fq
출처: GitHub Advisory Database https://github.com/advisories/GHSA-jv2j-mqmw-xvv5