GNU mtools 4.0.50 yalnızca tek bir güvenlik açığını kapatıyor

Alain Knaff, GNU mtools 4.0.50 sürümünü Cuma günü GNU e-posta listelerinden duyurdu. Duyuruya göre 4.0.49’dan bu yana tek değişiklik CVE-2026-118384 düzeltmesi. Araç, DOS disklerine ve FAT dosya sistemlerine mount etmeden erişmek için kullanılıyor.

GNU mtools nedir, ne işe yarar?

GNU mtools, MS-DOS disklerine ve FAT dosya sistemlerine mount etmeden erişmek için kullanılan komut satırı araçları paketidir. mcopy, mdir, mformat gibi komutlarla dosya kopyalama, listeleme ve FAT medyası biçimlendirme işlerini görür. Disk image dosyalarıyla da çalışabildiği için boot ve firmware image’ı hazırlayan geliştiriciler ve sistem yöneticileri kullanır. Biçimlendirme tarafında dosfstools, erişim tarafında loop device ile mount etmek bilinen alternatiflerdir.

Bu sürümde seçilecek tek kalem var: CVE-2026-118384 düzeltmesi. Yeni özellik yok. Yani mtools 4.0.50 bir özellik sürümü değil, doğrudan bir yama.

mtools 4.0.50 kimi etkiliyor

Masaüstünde mtools kurulu olması tek başına bir risk göstergesi değil. Asıl risk, dışarıdan gelen FAT image’larını işleyen yerlerde. Örnekler: -i flag’iyle disk image’ı açan build script’leri, boot ya da firmware image’ı üreten CI pipeline’ları, kullanıcıdan alınan disk dosyalarını açan araçlar. Açığın türü ve şiddeti duyuruda yazmıyor. Bu yüzden güvenilmeyen image işleyen her sistemi etkilenmiş sayın.

Yükseltme yolu

Duyuruda breaking change ya da deprecation yok, alfa veya beta ibaresi de geçmiyor. 4.0.49’dan mtools 4.0.50’ye doğrudan geçebilirsiniz. Önce kurulu paketin sürümüne bakın:

dpkg -l mtools    # Debian/Ubuntu
rpm -q mtools     # RHEL/Fedora

Dağıtımlar yamayı eski sürüm numarasına backport edebilir. Bu durumda sürüm numarasına değil, paket changelog’unda CVE numarasına bakın. Kaynaktan derleyecekseniz tarball’un SHA-1 değerini duyurudakiyle karşılaştırın:

sha1sum mtools-4.0.50.tar.gz

CI runner image’larını önce güncelleyin. Güvenilmeyen image işlemeyen kişisel makineler rutin güncellemeyi bekleyebilir.