CVE-2026-21863
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność w Valkey umożliwia atakującemu z dostępem do portu clusterbus wysłanie nieprawidłowego pakietu, co może prowadzić do odczytu poza zakresem i awarii systemu. Problem dotyczy braku walidacji położenia pakietu ping extension w buforze.
Ocena ryzyka
Atakujący może spowodować awarię systemu (DoS), co zakłóci dostępność usług klucz-wartość i może wpłynąć na działanie aplikacji zależnych od Valkey.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 9.0.2, 8.1.6, 8.0.7 lub 7.2.12. Dodatkowo należy nie udostępniać portu clusterbus bezpośrednio użytkownikom i zabezpieczyć go za pomocą list ACL sieci.
Inne podatności w Valkey
Zobacz wszystkie- CVE-2026-63639Wysokie
Podatność use-after-free w Valkey przed wersjami 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1. Polecenie RESTORE akceptuje uszkodzony strumień RDB, który przypisuje jeden NACK do wielu konsumentów, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-56684Wysokie
Valkey, rozproszona baza danych klucz-wartość, zawiera podatność use-after-free w funkcji tlsProcessPendingData. Uwierzytelniony klient może wywołać CLIENT KILL, co prowadzi do usunięcia węzła z listy i potencjalnie do awarii serwera lub zdalnego wykonania kodu, gdy TLS jest włączony. Problem został naprawiony w wersjach 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1.
- CVE-2026-27623Wysokie
Podatność w Valkey od wersji 9.0.0 do 9.0.2 pozwala atakującemu z dostępem sieciowym na przerwanie działania serwera poprzez wysłanie specjalnie spreparowanego żądania. Problem wynika z nieprawidłowego resetowania stanu sieci po przetworzeniu pustego żądania, co prowadzi do naruszenia asercji i awarii systemu.
- CVE-2025-67733Wysokie
Podatność w Valkey umożliwia złośliwemu użytkownikowi wstrzyknięcie dowolnych informacji do strumienia odpowiedzi klienta poprzez skrypty Lua. Błąd wynika z nieprawidłowego obsługiwania znaków null w kodzie obsługi błędów skryptów Lua, co może prowadzić do uszkodzenia lub podmiany danych dla innych użytkowników na tym samym połączeniu.
Oryginalny opis (angielski, źródło NVD)
Valkey is a distributed key-value database. Prior to versions 9.0.2, 8.1.6, 8.0.7, and 7.2.12, a malicious actor with access to the Valkey clusterbus port can send an invalid packet that may cause an out bound read, which might result in the system crashing. The Valkey clusterbus packet processing code does not validate that a clusterbus ping extension packet is located within buffer of the clusterbus packet before attempting to read it. Versions 9.0.2, 8.1.6, 8.0.7, and 7.2.12 fix the issue. As an additional mitigation, don't expose the cluster bus connection directly to end users, and protect the connection with its own network ACLs.