Byly zveřejněny opravy databázového systému Redis 6.2.6, 6.0.16 a 5.0.14, které odstraňují 8 zranitelností. Všem uživatelům se důrazně doporučuje okamžitě aktualizovat Redis na nové verze.
- Čtyři zranitelnosti (CVE-2021-41099, CVE-2021-32687, CVE-2021-32628, CVE-2021-32627) mohou vést k přetečení vyrovnávací paměti při zpracování speciálně tvarovaných příkazů a síťových dotazů, avšak pro jejich zneužití je nutné, aby některé konfigurační parametry (proto-max-bulk-len, set-max-intset-entries, hash-max-ziplist-*, proto-max-bulk-len, client-query-buffer-limit) byly nastaveny na velmi vysoké hodnoty.
- Zranitelnost CVE-2021-32762 může vést k přetečení vyrovnávací paměti v redis-cli a redis-sentinel při analýze velkých odpovědí na starších platformách.
- Zranitelnost CVE-2021-32675 může vést k odmítnutí služby při zpracování intenzivně přicházejících požadavků RESP s velkým počtem prvků.
- Zranitelnost CVE-2021-32672 může umožnit čtení obsahu paměti prostřednictvím manipulace s Lua debuggerem.
- Zranitelnost CVE-2021-32626 umožňuje způsobit přetečení vyrovnávací paměti při spuštění speciálně tvarovaných Lua skriptů.
Zdroj: opennet.ru
