Boli publikované opravné verzie systémov DBMS Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) a Valkey (8.0.4, 8.1.3), ktoré opravujú dve zraniteľnosti. Najnebezpečnejšia zraniteľnosť (CVE-2025-32023) môže potenciálne viesť k vzdialenému spusteniu kódu na serveri v dôsledku zápisu údajov do oblasti mimo alokovanej vyrovnávacej pamäte. Aby útočník mohol túto zraniteľnosť zneužiť, musí byť schopný odosielať príkazy do systému DBMS.
Problém je spôsobený chybou v implementácii príkazov, ktoré používajú algoritmus HyperLogLog na približný výpočet počtu jedinečných prvkov v množine. Zadaním špeciálne vytvoreného reťazca môže útočník spustiť pretečenie vyrovnávacej pamäte. Problém sa týka všetkých verzií Redis, ktoré podporujú príkazy HLL. Ako riešenie môžete obmedziť prístup používateľov k príkazom HLL prostredníctvom zoznamu ACL.
Druhá zraniteľnosť (CVE-2025-48367) môže byť zneužitá overeným používateľom na spôsobenie odmietnutia služby alebo zníženie výkonu systému DBMS. Problém je spôsobený nesprávnym spracovaním chýb pri nadväzovaní pripojení.
Zdroj: opennet.ru
