استخدام الذاكرة بعد تحريرها في SurrealDB قبل الإصدار 3.3.0 عبر affinitypool spawn_local في واجهات تخزين KV الخلفية

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي SurrealDB قبل الإصدار 3.3.0 على ثغرة استخدام الذاكرة بعد تحريرها في واجهات تخزين KV الخلفية الخاصة بـ surrealdb-core والتي تمرر حالة معاملة مستعارة إلى إغلاقات affinitypool::spawn_local مع الاعتماد على مستقبل Drop للسلامة. إن مطوري Rust الذين يُسربون مستقبلاً مرسلاً (مثل استخدام mem::forget) ويحذفون المعاملة يتسببون في قيام عمال التجمع بالقراءة والكتابة في ذاكرة محررة، مما يخطِر بحدوث تعطل أو تلف في الذاكرة.

المعالجة

1. أحصِ جميع نشرات surrealdb surrealdb، بما فيها بيئات الاختبار.
2. رقِّ surrealdb surrealdb إلى الإصدار 3.3.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/surrealdb/surrealdb/commit/17584a181979f04f2aaad867332c22db1caa511a
• تحذيرhttps://github.com/surrealdb/surrealdb/security/advisories/GHSA-pm86-cc75-q463
• تحذيرhttps://www.vulncheck.com/advisories/surrealdb-before-3.3.0-use-after-free-via-affinitypool-spawn-local-in-kv-backends