Se han publicado actualizaciones de corrección para las bases de datos Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) y Valkey (8.0.4, 8.1.3), que solucionan dos vulnerabilidades. La vulnerabilidad más crítica (CVE-2025-32023) puede llevar potencialmente a la ejecución remota de código en el servidor debido a la escritura de datos fuera del área del búfer asignado. Para explotar la vulnerabilidad, un atacante debe tener la capacidad de enviar comandos a la base de datos.
El problema se debe a un error en la implementación de los comandos que utilizan el algoritmo HyperLogLog para el conteo aproximado de elementos únicos en un conjunto. A través de la transmisión de una cadena diseñada específicamente, un atacante puede provocar un desbordamiento de búfer. El problema afecta a todas las versiones de Redis que soportan comandos HLL. Como solución alternativa, se puede restringir el acceso de los usuarios a los comandos HLL a través de ACL.
La segunda vulnerabilidad (CVE-2025-48367) puede ser utilizada por un usuario autenticado para causar una denegación de servicio o disminuir el rendimiento de la base de datos. El problema es causado por un manejo incorrecto de los errores al establecer conexiones.
Fuente: opennet.ru
