Corrigerende versies van de database Redis 6.2.6, 6.0.16 en 5.0.14 zijn gepubliceerd, waarin 8 kwetsbaarheden zijn verholpen. Alle gebruikers wordt dringend aangeraden om Redis bij te werken naar de nieuwste versies.
- Vier kwetsbaarheden (CVE-2021-41099, CVE-2021-32687, CVE-2021-32628, CVE-2021-32627) kunnen leiden tot een bufferoverloop bij het verwerken van speciaal opgemaakte commando's en netwerkverzoeken, maar voor exploitatie moeten bepaalde configuratieparameters (proto-max-bulk-len, set-max-intset-entries, hash-max-ziplist-*, proto-max-bulk-len, client-query-buffer-limit) op zeer hoge waarden zijn ingesteld.
- De kwetsbaarheid CVE-2021-32762 kan leiden tot een bufferoverloop in redis-cli en redis-sentinel bij het parseren van grote antwoorden op oudere platforms.
- De kwetsbaarheid CVE-2021-32675 kan leiden tot een denial-of-service (DoS) bij het verwerken van intensieve RESP-verzoeken met een groot aantal elementen.
- De kwetsbaarheid CVE-2021-32672 kan leiden tot het lezen van geheugeninformatie via manipulatie met de Lua Debugger.
- De kwetsbaarheid CVE-2021-32626 maakt een bufferoverloop mogelijk bij het uitvoeren van speciaal opgemaakte Lua-scripts.
Bron: opennet.ru
