Dragonfly: Double-free beim Laden von Stream-Consumer-Gruppen per RESTORE

Zusammenfassung

Dragonfly, ein In-Memory-Datenspeicher, enthält in Versionen vor 1.40 einen Double-free beim Laden einer manipulierten Stream-Consumer-Gruppe über RESTORE. Dieselbe gemeinsam genutzte Pending-Entry-Struktur wird beim Löschen der Consumer zweimal freigegeben. Bei deaktivierter Authentifizierung, der Standardeinstellung, kann ein nicht authentifizierter Client dies auslösen und so einen Denial of Service, eine Speicherkorruption und potenziell die Ausführung von Code als Dienstkonto von Dragonfly verursachen.

Betroffen

• Dragonfly-Versionen < 1.40 (gemäss CVE-Eintrag und GitHub-Advisory)
• Standardkonfiguration mit deaktivierter Authentifizierung
• Hinweis: Der NVD-/CVSS-Vektor verwendet AV:A; das Advisory beschreibt die Ausnutzung als remote. Der Versionsbereich ist nicht unabhängig bestätigt.

Behoben in

• Fix in Commit 6c6b27a und PR #7929 enthalten.
• Das Vendor-Advisory nennt keine gepatchte Version; die erste korrigierte Version ist unbekannt.
• Version 1.40 nicht als behoben annehmen, bis der Hersteller dies bestätigt.

Umgehung

• Vom Hersteller bestätigte Workaround: Unbekannt.
• Authentifizierung aktivieren (Passwort/ACLs), damit RESTORE vor dem Login nicht erreichbar ist.
• Zugriff auf den Dragonfly-Port per Firewall auf die benötigten Anwendungshosts beschränken.
• Den Port niemals dem Internet aussetzen.

Ausnutzung

• Der Hersteller meldet, dass das Problem auf dem unveränderten Container-Image v1.39.0 vollständig reproduziert wurde.
• Keine Hinweise auf aktive Ausnutzung gefunden; CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als no.
• Öffentlicher Exploit-Code: nicht gefunden.

Unsere Empfehlung

• Alle Dragonfly-Instanzen inventarisieren, einschliesslich Container, Helm-Charts und Testsysteme, und deren Versionen erfassen.
• Alle Versionen unter 1.40 als verwundbar behandeln, bis eine gepatchte Version bestätigt ist.
• Authentifizierung aktivieren und den externen sowie den unvertrauenswürdigen Netzwerkzugriff auf den Dragonfly-Port sofort blockieren.
• Das GitHub-Advisory GHSA-cg35-6jf4-crfh überwachen und sofort aktualisieren, sobald eine gepatchte Version verfügbar ist.
• Auf unerwartete Abstürze, Neustarts oder neue Prozesse auf Dragonfly-Hosts achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 6c6b27a github.com
• Pull Request #7929 github.com
• GitHub Security Advisory GHSA-cg35-6jf4-crfh github.com
• OSV CVE-2026-104192 osv.dev
• Vulners MEND:CVE-2026-104192 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:57.