Обновление СУБД Redis 6.2.6, 6.0.16 и 5.0.14 с устранением 8 уязвимостей04.10.2021 21:00

Опубликованы корректирующие выпуски CУБД Redis 6.2.6, 6.0.16 и 5.0.14, в которых устранено 8 уязвимостей. Всем пользователям рекомендовано срочно обновить Redis до новых версий.

Четыре уязвимости (CVE-2021–41099, CVE-2021–32687, CVE-2021–32628, CVE-2021–32627) могут привести к переполнению буфера при обработке специально оформленных команд и сетевых запросов, но для эксплуатации необходимо чтобы некоторые параметры конфигурации (proto-max-bulk-len, set-max-intset-entries, hash-max-ziplist-*, proto-max-bulk-len, client-query-buffer-limit) были выставлены в очень большие значения.
Уязвимость CVE-2021–32762 может привести к переполнению буфера в redis-cli и redis-sentinel при разборе больших ответов на старых платформах.
Уязвимость CVE-2021–32675 может привести к отказу в обслуживании при обработке интенсивно потупающих RESP-запросов с большим числом элементов.
Уязвимость CVE-2021–32672 может привести к чтению содержимого памяти через манипуляции с Lua Debugger.
Уязвимость CVE-2021–32626 позволяет вызвать переполнение буфера при запуске специально оформленных Lua-скриптов.

Источник: http://www.opennet.ru/opennews/art.shtml? num=55919