De correctie-release van de database Redis 7.0.5 is gepubliceerd, waarin een kwetsbaarheid (CVE-2022-35951) is verholpen die mogelijk een aanvaller in staat stelt om zijn code uit te voeren met de rechten van het Redis-proces. Dit probleem betreft alleen tak 7.x en vereist toegang voor het uitvoeren van verzoeken om de aanval uit te voeren.
De kwetsbaarheid is veroorzaakt door een integer overflow die optreedt bij het opgeven van een onjuist waarde voor de parameter 'COUNT' in de opdracht 'XAUTOCLAIM'. Wanneer deze wordt gebruikt in de opdracht met streamsleutels in een bepaalde toestand, kan de integer overflow worden benut om buiten het toegekende heap-geheugen te schrijven.
Bron: opennet.ru
