CVE-2026-23631
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 76 - wyżej niż 76% wszystkich znanych CVE
Streszczenie
Redis z włączonym skryptowaniem Lua zawiera podatność use-after-free w mechanizmie synchronizacji master-replica. Uwierzytelniony atakujący może wykorzystać repliki z wyłączoną opcją replica-read-only do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość przejęcia kontroli nad replikami Redis, co może prowadzić do wycieku danych, przerwania działania usług lub dalszego rozprzestrzenienia ataku w infrastrukturze.
Rekomendacja
Zaleca się natychmiastową aktualizację Redis do wersji 8.6.3 lub nowszej. Jako tymczasowe obejście należy zablokować wykonywanie skryptów Lua przez użytkowników oraz upewnić się, że repliki mają włączoną opcję replica-read-only.
Inne podatności w Redis
Zobacz wszystkie- CVE-2016-10517Wysokie
W Redis przed wersją 3.2.7 występuje podatność na 'Cross Protocol Scripting' z powodu braku weryfikacji ciągów POST i Host:, które nie są zgodne z protokołem Redis.
- CVE-2015-8080Wysokie
Przepełnienie całkowite w funkcji getnum w lua_struct.c w Redis 2.8.x przed wersją 2.8.24 oraz 3.0.x przed wersją 3.0.6 pozwala atakującym z odpowiednimi uprawnieniami do uruchamiania kodu Lua w sesji Redis na spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne obejście zamierzonych ograniczeń sandboxa poprzez dużą liczbę, co wywołuje przepełnienie bufora na stosie.
- CVE-2015-4335Wysokie
Redis w wersjach przed 2.8.21 oraz 3.x przed 3.0.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu bajtowego Lua za pomocą polecenia eval.
- CVE-2026-81934Krytyczne
Redis zawiera podatność use-after-free w funkcji 'tlsProcessPendingData()', która obsługuje listę oczekujących danych TLS, jeśli Redis jest skonfigurowany z obsługą TLS. Zdalny, nieuwierzytelniony atakujący może być w stanie wykonać dowolne polecenia z uprawnieniami serwera Redis. Poprawiono w Redis 8.2.9, 8.4.6, 8.6.6, 8.8.2 i 8.10.1.
- CVE-2023-36824Wysokie
W Redis 7.0 przed wersją 7.0.12 występuje podatność, która może prowadzić do przepełnienia sterty podczas wydobywania nazw kluczy z polecenia i listy argumentów. Może to skutkować odczytem losowej pamięci sterty, uszkodzeniem sterty oraz potencjalnym zdalnym wykonaniem kodu.
- CVE-2017-15047Krytyczne
Funkcja clusterLoadConfig w Redis 4.0.2 umożliwia atakującym spowodowanie odmowy usługi (przekroczenie indeksu tablicy i awaria aplikacji) poprzez wykorzystanie 'ograniczonego dostępu do maszyny'.
- CVE-2016-8339Krytyczne
W Redis w wersjach 3.2.x przed 3.2.4 występuje przepełnienie bufora, które może prowadzić do wykonania dowolnego kodu po wysłaniu spreparowanej komendy. Występuje podatność na zapis poza zakresem w obsłudze opcji client-output-buffer-limit podczas komendy CONFIG SET.
- CVE-2026-66373Wysokie
Redis przed wersją 8.8.0, w nietypowym przypadku gdy uwierzytelniony atakujący może wykonać RESTORE, umożliwia zdalne wykonanie kodu przez ładunek RESTORE, w którym ten sam NACK (oczekująca pozycja) jest odwoływany przez więcej niż jednego konsumenta. Usunięcie obu konsumentów przez XGROUP DELCONSUMER prowadzi do podwójnego zwolnienia pamięci. Podatność wynika z niepełnej poprawki dla CVE-2026-25243.
- CVE-2026-25243Wysokie
Podatność w Redis do wersji 8.6.3 pozwala uwierzytelnionemu atakującemu na wykonanie kodu zdalnie poprzez specjalnie spreparowane dane w poleceniu RESTORE. Problem wynika z nieprawidłowej walidacji serializowanych wartości.
- CVE-2026-23479Wysokie
Podatność w Redis-serwerze w wersjach od 7.2.0 do 8.6.3 pozwala na użycie po zwolnieniu pamięci (use-after-free) podczas obsługi błędu przy ponownym wykonywaniu zablokowanego polecenia. Uwierzytelniony atakujący może wykorzystać ten błąd do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
Redis is an in-memory data structure store. In all versions of redis-server with Lua scripting, an authenticated attacker can exploit the master-replica synchronization mechanism to trigger a use-after-free on replicas where replica-read-only is disabled or can be disabled, which may lead to remote code execution. A workaround is to prevent users from executing Lua scripts or avoid using replicas where replica-read-only is disabled. This is patched in version 8.6.3.