Актуализация на СУБД Redis 6.2.6, 6.0.16 и 5.0.14 с отстраняване на 8 уязвимости

Публикувани са коригиращи версии на СУБД Redis 6.2.6, 6.0.16 и 5.0.14, в които са отстранени 8 уязвимости. Препоръчва се на всички потребители спешно да актуализират Redis до новите версии.

• Четири уязвимости (CVE-2021-41099, CVE-2021-32687, CVE-2021-32628, CVE-2021-32627) могат да доведат до препълване на буфера при обработка на специално оформени команди и мрежови заявки, но за експлоатацията е необходимо някои конфигурационни параметри (proto-max-bulk-len, set-max-intset-entries, hash-max-ziplist-*, proto-max-bulk-len, client-query-buffer-limit) да бъдат зададени на много големи стойности.
• Уязвимостта CVE-2021-32762 може да доведе до препълване на буфера в redis-cli и redis-sentinel при обработка на големи отговори на стари платформи.
• Уязвимостта CVE-2021-32675 може да доведе до отказ на услугата при обработка на интензивно подавани RESP-запроси с голямо число елементи.
• Уязвимостта CVE-2021-32672 може да доведе до четене на съдържанието на паметта чрез манипулации с Lua Debugger.
• Уязвимостта CVE-2021-32626 позволява да се предизвика препълване на буфера при стартиране на специално оформени Lua скриптове.

Източник: opennet.ru