CVE-2026-104192: DragonflyDB: double-free na desserialização de stream RDB
Versões do Dragonfly anteriores à 1.40 apresentam um double-free (CWE-415) na lógica de carregamento de streams RDB, acessível pelo comando RESTORE. O registro informa pontuação CVSS 3.1 de 9.6 atribuída pelo GitHub e indica que, na configuração padrão, um cliente não autenticado poderia potencialmente acioná-lo. Como o registro não associa a falha a uma versão corrigida, recomenda-se restringir o acesso e monitorar até que uma correção confirmada seja publicada.
Visão geral
O Dragonfly é um armazenamento de dados em memória. A CVE-2026-104192 descreve um double-free (CWE-415) no tratamento de dados de stream serializados durante o carregamento de RDB, acessível pelo comando RESTORE em versões anteriores à 1.40. O aviso do GitHub está disponível em GHSA-cg35-6jf4-crfh.
Impacto
- Segundo o registro, o acionamento bem-sucedido poderia causar corrupção do alocador, negação de serviço e, potencialmente, execução de código com a conta de serviço do Dragonfly.
- O vetor CVSS 3.1 do GitHub é CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, com pontuação 9.6 e severidade crítica.
- O registro informa que a autenticação está desabilitada na configuração padrão, motivo pelo qual o vetor não exige privilégios.
Produtos e versões afetadas
- Dragonflydb Dragonfly: versões abaixo da 1.40.
- O registro não lista versão corrigida. A correção no código-fonte é descrita como ainda não associada a uma versão publicada.
Status de exploração
O catálogo CISA KEV não lista esta CVE, e o campo de exploração do SSVC está como none. Não há indício de exploração confirmada nas fontes consultadas. O registro classifica o problema como não automatizável segundo o SSVC.
Correção e mitigação
- Verifique o aviso do GitHub e o pull request relacionado para novidades sobre uma versão corrigida, e atualize assim que uma versão for confirmada.
- Habilite a autenticação, já que o registro informa que ela está desabilitada por padrão.
- Limite a exposição de rede para que apenas clientes e redes confiáveis alcancem as instâncias do Dragonfly.
- Revise quais serviços e usuários podem enviar comandos RESTORE e restrinja-os sempre que possível.
Orientação de detecção
- Monitore o tráfego de RESTORE vindo de origens inesperadas, sobretudo de clientes não autenticados.
- Observe falhas inesperadas, reinicializações ou erros do alocador de memória nos logs do Dragonfly.
- Correlacione a instabilidade dos serviços com conexões recentes de clientes para identificar possível abuso.
Limitações das informações disponíveis
- Nenhuma versão corrigida está associada no registro, e o commit de correção aparece sem uma versão de lançamento confirmada.
- A pontuação EPSS está ausente, portanto a probabilidade de exploração é desconhecida.
- O registro não descreve os caminhos de código afetados além da função citada na descrição, nem ataques observados.
Perguntas frequentes
Quais versões do Dragonfly são afetadas pela CVE-2026-104192?
O registro indica o Dragonflydb Dragonfly em versões abaixo da 1.40 como afetadas.
Existe uma versão corrigida disponível?
O registro não lista versão corrigida e informa que a correção no código-fonte ainda não foi associada a uma versão publicada. Consulte o aviso do GitHub para atualizações.
Esta vulnerabilidade está sendo explorada ativamente?
O catálogo CISA KEV não lista esta CVE, e não há indício de exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.