Foram publicados lançamentos corretivos do SGBD Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) e Valkey (8.0.4, 8.1.3), nos quais foram corrigidas duas vulnerabilidades. A vulnerabilidade mais crítica (CVE-2025-32023) pode potencialmente levar à execução remota de código no servidor devido à gravação de dados fora da área de buffer alocada. Para explorar a vulnerabilidade, o invasor deve ter a capacidade de enviar comandos ao SGBD.
O problema é causado por um erro na implementação de comandos que utilizam o algoritmo HyperLogLog para a contagem aproximada de elementos únicos em um conjunto. Através do envio de uma string especificamente formatada, o invasor pode causar um estouro de buffer. O problema afeta todas as versões do Redis que suportam comandos HLL. Como uma medida de proteção, é possível restringir o acesso dos usuários aos comandos HLL por meio de ACL.
A segunda vulnerabilidade (CVE-2025-48367) pode ser explorada por um usuário autenticado para causar uma negação de serviço ou reduzir o desempenho do SGBD. O problema é causado por um tratamento incorreto de erros ao estabelecer conexões.
Fonte: opennet.ru
