Публикувани са корекционни издания на СУБД Redis 6.2.6, 6.0.16 и 5.0.14, в които са отстранени 8 уязвимости. Препоръчва се на всички потребители спешно да актуализират Redis до новите версии.
- Четири уязвимости (CVE-2021-41099, CVE-2021-32687, CVE-2021-32628, CVE-2021-32627) могат да доведат до препълване на буфера при обработка на специално оформени команди и мрежови запитвания, но за експлоатацията им е необходимо определени конфигурационни параметри (proto-max-bulk-len, set-max-intset-entries, hash-max-ziplist-*, proto-max-bulk-len, client-query-buffer-limit) да бъдат зададени на много големи стойности.
- Уязвимостта CVE-2021-32762 може да доведе до препълване на буфера в redis-cli и redis-sentinel при разбиране на големи отговори на стари платформи.
- Уязвимостта CVE-2021-32675 може да доведе до отказ на обслужване при обработка на интензивно постъпващи RESP-запитвания с голям брой елементи.
- Уязвимостта CVE-2021-32672 може да доведе до четене на съдържанието на паметта чрез манипулации с Lua Debugger.
- Уязвимостта CVE-2021-32626 позволява да се предизвика препълване на буфера при изпълнение на специално оформени Lua-скриптове.
Източник: opennet.ru
