- Yama var
- Son 7 gün
- CWE-416
CVE-2026-121417
SurrealDB KV arka uçlarında kullanım-sonrası-serbest bırakma (use-after-free) açığı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, veritabanı motorunu kendi Rust uygulamalarına gömen şirketlerde uygulamaların beklenmedik şekilde çökmesine veya veri bütünlüğünün bozulmasına yol açabilir. Etkisi sınırlı koşullara bağlı olsa da ciddi bir kesinti ve veri riski oluşturabileceği için öncelikli olarak güncelleme yapılmalıdır.
ÖzetTürkçe
SurrealDB'nin 3.3.0 öncesi sürümlerinde, surrealdb-core içindeki KV arka uçları ödünç alınmış işlem durumunu affinitypool::spawn_local kapanışlarına aktarmakta ve güvenliği future'ın Drop davranışına dayandırmaktadır. Bu nedenle, gönderilmiş bir future'ı sızdıran (örneğin mem::forget ile) ve ardından işlemi bırakan Rust tabanlı uygulamalar bu açığa maruz kalır. Etkilenen taraflar, bu SurrealDB sürümlerini gömülü olarak kullanan geliştiriciler ve sistemlerdir.
Saldırgan ne yapabilir?
Saldırgan, havuz çalışanlarının serbest bırakılmış belleğe okuma ve yazma yapmasına neden olabilir; bu da uygulamanın çökmesine veya bellek bozulmasına yol açabilir. Verilen CVSS vektörüne göre yerel erişimli bir saldırganın gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratması mümkündür.
Kaynaktaki açıklama (İngilizce)
SurrealDB before 3.3.0 contains a use-after-free vulnerability in surrealdb-core KV backends that pass borrowed transaction state into affinitypool::spawn_local closures relying on future Drop for safety. Rust embedders that leak a dispatched future (e.g. via mem::forget) and drop the transaction cause pool workers to read and write freed memory, risking crashes or memory corruption.
Ne yapmalı?
- SurrealDB'yi 3.3.0 veya üzeri bir sürüme yükseltin. Üretici
- Güncelleme yapamıyorsanız, SurrealDB'yi gömülü olarak kullanan uygulamalarda gönderilmiş future'ların iptal edilmeden veya sızdırılmadan (mem::forget gibi yöntemlerle) çalıştırılmadığından emin olun. Genel öneri
- Güncelleme sonrasında uygulamaların yeniden derlenip test edildiğini ve çalıştığını doğrulayın. Genel öneri
Ek önlemler
- Uygulama kodunda future'ları sızdıran (leak eden) kalıpları inceleyip gözden geçirin. Genel öneri
- Uygulama çökmelerini ve beklenmedik bellek hatalarını izleyin; ani kapanmalar bu açığın istismarının göstergesi olabilir. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| surrealdb | < 3.3.0 | 3.3.0 |
| 3.3.0 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.