CVE-2024-27308

Mio, Rust için bir Metal I/O kütüphanesidir. Windows üzerinde adlandırılmış borular (named pipes) kullanıldığında, mio bazı durumlarda mio kayıt defterinden zaten kaydı silinmiş olan adlandırılmış borulara karşılık gelen geçersiz token'lar döndürebilir. Bu güvenlik açığının etkisi, mio'nun nasıl kullanıldığına bağlıdır. Bazı uygulamalar için geçersiz token'lar görmezden gelinebilir veya bir uyarıya ya da çökmeye neden olabilir. Öte yandan, token'larda işaretçiler (pointers) saklayan uygulamalar için bu durum bir serbest bırakıldıktan sonra kullanım (use-after-free) ile sonuçlanabilir. Tokio kullanıcıları için bu açık ciddidir ve Tokio'da bir serbest bırakıldıktan sonra kullanım sonucuna yol açabilir. Güvenlik açığı Windows'a özgüdür ve yalnızca adlandırılmış borular kullanılıyorsa meydana gelebilir. Diğer IO kaynakları etkilenmemektedir. Bu açık mio v0.8.11 sürümünde düzeltilmiştir. v0.7.2 ile v0.8.10 arasındaki tüm mio sürümleri savunmasızdır. Tokio, hem savunmasız bir mio sürümü kullandığınızda HEM DE en az Tokio v1.30.0 sürümünü kullandığınızda savunmasız hale gelir. v1.30.0 öncesindeki Tokio sürümleri geçersiz token'ları görmezden geldiği için savunmasız değildir. mio kullanan savunmasız kütüphaneler, geçersiz token'ları tespit edip görmezden gelerek bu sorunu aşabilirler.