Zraniteľnosti v DBMS Redis a Valkey

Boli vydané opravy databázového systému Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) a Valkey (8.0.4, 8.1.3), v ktorých boli odstránené dve zraniteľnosti. Najnebezpečnejšia zraniteľnosť (CVE-2025-32023) môže potenciálne viesť k vzdialenému vykonávaniu kódu na serveri v dôsledku zápisu údajov mimo prideleného vyrovnávacieho priestoru. Na zneužitie zraniteľnosti musí útočník mať možnosť posielať príkazy do databázového systému.

Problém je spôsobený chybou v implementácii príkazov, ktoré používajú algoritmus HyperLogLog na približný počet jedinečných prvkov v množine. Cez zaslanie špeciálne formátovaného reťazca môže útočník spustiť pretečenie vyrovnávacieho priestoru. Problém sa týka všetkých verzií Redis podporujúcich príkazy HLL. Ako obranou je možné obmedziť prístup používateľov k príkazom HLL cez ACL.

Druhá zraniteľnosť (CVE-2025-48367) môže byť využitá autentifikovaným používateľom na vyvolanie odmietnutia služby alebo zníženie výkonu databázového systému. Problém je spôsobený nesprávnym spracovaním chýb pri nadväzovaní spojení.

Zdroj: opennet.ru