CVE-2026-104192 in Dragonfly
요약
\~에 의해 VulDB • 2026. 10. 13.
Dragonfly는 현대적인 애플리케이션 워크로드를 위해 설계된 인메모리 데이터 저장소입니다. 1.40 이전 버전에서 src/server/rdb_load.cc의 OpaqueObjLoader::CreateStream은 하나의 streamNACK을 소비자 그룹의 전역 PEL(Processing Entry List) 및 소비자 로컬 PEL과 연결한 후, 중복된 소비자 엔트리가 거부될 때 공유 객체를 해제합니다. 이후 정리 과정에서 동일한 객체가 다시 해제됩니다. 기본 구성에서 Dragonfly는 인증이 비활성화된 상태로 제공되므로, 인증되지 않은 클라이언트는 RESTORE 명령에 대해 조작된 직렬화 스트림을 전송하여 double-free를 유발할 수 있으며, 이는 할당자 손상(DO allocator corruption), 서비스 거부(DoS) 및 잠재적으로 공격자가 제어하는 코드 실행으로 이어질 수 있습니다. 소스 수정 사항은 아직 공개된 릴리스에 매핑되지 않았습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.