CVE-2025-67733
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność w Valkey umożliwia złośliwemu użytkownikowi wstrzyknięcie dowolnych informacji do strumienia odpowiedzi klienta poprzez skrypty Lua. Błąd wynika z nieprawidłowego obsługiwania znaków null w kodzie obsługi błędów skryptów Lua, co może prowadzić do uszkodzenia lub podmiany danych dla innych użytkowników na tym samym połączeniu.
Ocena ryzyka
Organizacja narażona jest na ryzyko naruszenia integralności danych oraz potencjalne ataki typu man-in-the-middle, gdzie atakujący może manipulować odpowiedziami serwera, co może prowadzić do kradzieży danych lub eskalacji uprawnień.
Rekomendacja
Należy niezwłocznie zaktualizować Valkey do wersji 9.0.2, 8.1.6, 8.0.7 lub 7.2.12 w zależności od używanej gałęzi. Po aktualizacji należy zweryfikować poprawność działania skryptów Lua i monitorować logi pod kątem podejrzanych aktywności.
Inne podatności w Valkey
Zobacz wszystkie- CVE-2026-86227Niskie
W produkcie valkey-io valkey do wersji 9.0.5/9.1.1 wykryto podatność polegającą na odczycie poza zakresem w funkcji kvstoreGetHashtable pliku src/kvstore.c poprzez manipulację argumentem didx. Atak może być przeprowadzony zdalnie, ale wymaga trybu klastrowego oraz dostępu do pliku dump.rdb przy starcie, co czyni go trudnym do wykorzystania. Publicznie udostępniono exploit, a producent wydał łatkę.
- CVE-2026-85522Średnie
Wykryto podatność w valkey-io valkey do wersji 9.5.4/9.1.0. Dotyczy ona funkcji createSlotImportJob w pliku src/cluster_migrateslots.c w komponencie Slot Migration. Manipulacja argumentem job_name prowadzi do odczytu poza zakresem. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty. Aktualizacja do wersji 9.0.5 i 9.1.1 rozwiązuje ten problem. Zalecana jest aktualizacja.
- CVE-2026-82677Niskie
Wykryto podatność w valkey-io valkey 9.1.0. Funkcja moduleTimerHandler w pliku src/module.c komponentu Module Timer Subsystem powoduje podwójne zwolnienie (double free). Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Dostępna jest poprawka.
- CVE-2026-82631Niskie
Wykryto podatność w valkey-io valkey 9.1.0. Funkcja handleClientsBlockedOnKey w pliku src/blocked.c komponentu Blocked-on-keys Subsystem jest podatna na użycie po zwolnieniu (use after free). Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność. Exploit jest publiczny, a poprawka dostępna.
- CVE-2026-63639Wysokie
Podatność use-after-free w Valkey przed wersjami 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1. Polecenie RESTORE akceptuje uszkodzony strumień RDB, który przypisuje jeden NACK do wielu konsumentów, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-56684Wysokie
Valkey, rozproszona baza danych klucz-wartość, zawiera podatność use-after-free w funkcji tlsProcessPendingData. Uwierzytelniony klient może wywołać CLIENT KILL, co prowadzi do usunięcia węzła z listy i potencjalnie do awarii serwera lub zdalnego wykonania kodu, gdy TLS jest włączony. Problem został naprawiony w wersjach 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1.
- CVE-2026-27623Wysokie
Podatność w Valkey od wersji 9.0.0 do 9.0.2 pozwala atakującemu z dostępem sieciowym na przerwanie działania serwera poprzez wysłanie specjalnie spreparowanego żądania. Problem wynika z nieprawidłowego resetowania stanu sieci po przetworzeniu pustego żądania, co prowadzi do naruszenia asercji i awarii systemu.
- CVE-2026-21863Wysokie
Podatność w Valkey umożliwia atakującemu z dostępem do portu clusterbus wysłanie nieprawidłowego pakietu, co może prowadzić do odczytu poza zakresem i awarii systemu. Problem dotyczy braku walidacji położenia pakietu ping extension w buforze.
Oryginalny opis (angielski, źródło NVD)
Valkey is a distributed key-value database. Prior to versions 9.0.2, 8.1.6, 8.0.7, and 7.2.12, a malicious user can use scripting commands to inject arbitrary information into the response stream for the given client, potentially corrupting or returning tampered data to other users on the same connection. The error handling code for lua scripts does not properly handle null characters. Versions 9.0.2, 8.1.6, 8.0.7, and 7.2.12 fix the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS