Objavljene so popravne različice SQL strežnikov Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) in Valkey (8.0.4, 8.1.3), ki odpravljajo dve ranljivosti. Najbolj nevarna ranljivost (CVE-2025-32023) potencialno lahko povzroči oddaljeno izvajanje kode na strežniku zaradi zapisovanja podatkov izven dodeljenega pomnilnika. Da bi izkoristil ranljivost, mora napadalec imeti možnost pošiljanja ukazov SQL strežniku.
Težava je povezana z napako v implementaciji ukazov, ki uporabljajo algoritem HyperLogLog za približno štetje edinstvenih elementov v množici. S prenosom posebej oblikovanega niza lahko napadalec sproži prenapolnitev pomnilnika. Težava se dotika vseh različic Redis, ki podpirajo ukaze HLL. Kot začasno zaščito je mogoče omejiti dostop uporabnikov do ukazov HLL prek ACL.
Druga ranljivost (CVE-2025-48367) se lahko izkorišča z avtenticiranim uporabnikom za izvedbo napada zavrnitve storitve ali zmanjšanje zmogljivosti SQL strežnika. Težava je posledica nepravilne obdelave napak pri vzpostavljanju povezav.
Izvor: opennet.ru
