Korrigerende opdateringer for databasesystemerne Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) og Valkey (8.0.4, 8.1.3) er offentliggjort, hvori to sårbarheder er blevet rettet. Den mest alvorlige sårbarhed (CVE-2025-32023) kan potentielt føre til fjernudførelse af kode på serveren ved at skrive data uden for det tildelte bufferområde. For at udnytte denne sårbarhed skal en angriber have mulighed for at sende kommandoer til databasesystemet.
Problemet skyldes en fejl i implementeringen af kommandoer, der bruger HyperLogLog-algoritmen til at tælle unikke elementer i et sæt. Ved at sende en specielt udformet streng kan en angriber initierer et buffer overflow. Problemet berører alle versioner af Redis, der understøtter HLL-kommandoer. Som en midlertidig beskyttelsesmetode kan adgangen til HLL-kommandoerne begrænses gennem ACL.
Den anden sårbarhed (CVE-2025-48367) kan udnyttes af en autentificeret bruger til at forårsage serviceafbrydelser eller reducere databasesystemets ydeevne. Problemet skyldes forkert fejlbehandling ved oprettelse af forbindelser.
Kilde: opennet.ru
