Twee kwetsbaarheden in DBHub maken ongeautoriseerde toegang en omzeiling van alleen-lezen-modus mogelijk

Wat is er gebeurd

Er zijn twee afzonderlijke kwetsbaarheden bekendgemaakt in de HTTP-transportmodus van DBHub (gestart met opties zoals `--transport http --port 8080`). CVE-2026-61742 (GHSA-fm8p-53ww-hf6w): De HTTP-server van DBHub probeert toegang vanuit browsers te beperken door te controleren of de hostnaam in de `Origin`-header overeenkomt met die in de `Host`-header, en weerspiegelt de gevalideerde `Origin` vervolgens in de responsheader `Access-Control-Allow-Origin`. Deze controle biedt geen bescherming tegen DNS-rebinding. Zodra een door een aanvaller gecontroleerde hostnaam wordt omgeleid naar een voor het slachtoffer bereikbare DBHub HTTP-server, kunnen zowel `Origin` als `Host` dezelfde, door de aanvaller gecontroleerde hostnaam bevatten, waardoor DBHub het verzoek accepteert. Hierdoor kan een kwaadaardige website rechtstreeks vanuit de browser van het slachtoffer MCP-tools van DBHub aanroepen, zonder prompt injection of betrokkenheid van het AI-model. Bij de standaard democonfiguratie kan hiermee de demo-SQLite-database worden gelezen en beschreven; bij een echte, geconfigureerde database kan dezelfde techniek data lezen, inventariseren en mogelijk ook wegschrijven, afhankelijk van de geconfigureerde toolrechten en databasecredentials. CVE-2026-61788 (GHSA-mwwr-p57h-56pf): De `execute_sql`-tool accepteert een instelling `readonly = true`, maar deze instelling maakt de onderliggende databaseverbinding niet daadwerkelijk alleen-lezen. De connectorcode die `default_transaction_read_only=on` zou moeten instellen voor PostgreSQL (of SQLite in alleen-lezen-modus zou moeten openen) wordt afgeschermd door een configuratiewaarde die nooit wordt ingevuld, waardoor deze code nooit wordt uitgevoerd. Het enige dat nog bescherming biedt, is een classificatie die alleen naar het eerste sleutelwoord van een SQL-statement kijkt — dit kan worden omzeild door elk `SELECT`-statement dat via een functieaanroep schrijft of neveneffecten heeft.

Technische oorzaak

CVE-2026-61742 betreft een Missing Authentication for Critical Function-kwetsbaarheid (CWE-306): de origin-matchinglogica die dient als CORS/CSRF-achtige bescherming kan door een aanvaller worden voldaan via DNS-rebinding, omdat zowel de `Host`- als de `Origin`-header dezelfde, door de aanvaller gecontroleerde hostnaam kunnen weerspiegelen zodra DNS-resolutie wordt gemanipuleerd. CVE-2026-61788 is geclassificeerd als Incomplete List of Disallowed Inputs (CWE-184): de afdwinging van de alleen-lezen-modus steunt op een eenvoudige classificatie op basis van het eerste sleutelwoord van een SQL-statement, in plaats van de databaseverbinding daadwerkelijk als alleen-lezen te configureren, en de beoogde instelling op connectorniveau wordt door een configuratiefout nooit toegepast. Een `SELECT`-statement dat een functie met neveneffecten aanroept (zoals `lo_export` of `pg_read_file` in PostgreSQL, of `dblink` in combinatie met `COPY ... TO PROGRAM`) komt langs de classificatie terwijl het alsnog data wegschrijft of commando's uitvoert.

Waarom dit belangrijk is

Beide kwetsbaarheden betreffen de HTTP-transportmodus van DBHub, die volgens de advisories standaard ongeautoriseerd is en, volgens CVE-2026-61788, standaard bindt aan `0.0.0.0` — waardoor deze bereikbaar is voor elke netwerkclient die het `/mcp`-eindpunt kan benaderen. Bij CVE-2026-61742 varieert de impact van het lezen/beschrijven van een standaard demo-SQLite-database tot het lezen, inventariseren en mogelijk beschrijven van een echte productiedatabase, afhankelijk van geconfigureerde toolrechten en credentials — allemaal te activeren wanneer het slachtoffer met zijn browser een kwaadaardige website bezoekt, zonder verdere gebruikersinteractie en zonder betrokkenheid van het AI-model zelf. Bij CVE-2026-61788 hangt de impact af van het rechtenniveau van de geconfigureerde databaserol: met een gewone rol is manipulatie van sequences mogelijk; met een bevoorrechte PostgreSQL-rol stelt het advisory dat het schrijven van willekeurige bestanden op de server (`lo_export`), het lezen van willekeurige bestanden op de hostmachine (`pg_read_file`) en remote code execution via `dblink` in combinatie met `COPY ... TO PROGRAM` mogelijk zijn.

Wie wordt getroffen

Elke implementatie van het npm-pakket `@bytebase/dbhub` die de HTTP-transportmodus gebruikt, is getroffen. CVE-2026-61742 treft versies tot en met 0.22.4. CVE-2026-61788 treft versies vóór 0.22.6. Implementaties die uitsluitend de standaard- of stdio-transportmodus gebruiken, of die al zijn bijgewerkt naar een hogere versie dan de respectievelijke fix, zijn niet getroffen door het betreffende probleem.

Getroffen versies

@bytebase/dbhub: - CVE-2026-61742: versies vanaf 0 tot en met 0.22.4 zijn getroffen; verholpen in 0.22.5. - CVE-2026-61788: versies vanaf 0 tot (maar niet inclusief) 0.22.6 zijn getroffen; verholpen in 0.22.6.

Fixes en mitigatie

De omzeiling van de origin-controle via DNS-rebinding (CVE-2026-61742) is verholpen in versie 0.22.5 van @bytebase/dbhub. De fout in de afdwinging van alleen-lezen-modus (CVE-2026-61788) is verholpen in versie 0.22.6. Door te updaten naar 0.22.6 worden beide problemen verholpen, aangezien dit een latere release is dan 0.22.5.

Aanbevolen actie

Werk @bytebase/dbhub bij naar versie 0.22.6 of hoger; deze versie bevat de fixes voor zowel CVE-2026-61742 als CVE-2026-61788. Zolang er nog niet is bijgewerkt, wordt beheerders die de HTTP-transportmodus van DBHub gebruiken aangeraden deze niet bloot te stellen aan onbetrouwbare netwerken of browsers, en niet te vertrouwen op de `readonly`-instelling van `execute_sql` als beveiligingsmaatregel. Controleer ook de rechten van de geconfigureerde databaserol, aangezien de impact van CVE-2026-61788 aanzienlijk groter is wanneer DBHub met een bevoorrecht databaseaccount is geconfigureerd.