Byly zveřejněny opravy databázových systémů Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) a Valkey (8.0.4, 8.1.3), které odstraňují dvě zranitelnosti. Největší hrozbou je zranitelnost (CVE-2025-32023), která může potenciálně vést k vzdálenému provedení kódu na serveru kvůli zápisu dat do oblasti mimo vyhrazený buffer. K exploataci zranitelnosti musí útočník mít možnost posílat příkazy do databázového systému.
Problém je způsoben chybou v implementaci příkazů využívajících algoritmus HyperLogLog pro přibližný počet unikátních prvků v množině. Útočník může iniciovat přetečení bufferu prostřednictvím odeslání speciálně formátovaného řetězce. Problém se týká všech verzí Redis, které podporují příkazy HLL. Jako obranou může být omezený přístup uživatelů k příkazům HLL prostřednictvím ACL.
Druhá zranitelnost (CVE-2025-48367) může být využita autentizovaným uživatelem k způsobení odmítnutí služby nebo snížení výkonu databázového systému. Problém je způsoben nesprávným zpracováním chyb při navazování spojení.
Zdroj: opennet.ru
