CVE-2026-86227
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W produkcie valkey-io valkey do wersji 9.0.5/9.1.1 wykryto podatność polegającą na odczycie poza zakresem w funkcji kvstoreGetHashtable pliku src/kvstore.c poprzez manipulację argumentem didx. Atak może być przeprowadzony zdalnie, ale wymaga trybu klastrowego oraz dostępu do pliku dump.rdb przy starcie, co czyni go trudnym do wykorzystania. Publicznie udostępniono exploit, a producent wydał łatkę.
Ocena ryzyka
Podatność może umożliwić atakującemu przeprowadzenie ataku typu DoS podczas uruchamiania serwera, jeśli ma on możliwość dostarczenia spreparowanego pliku dump.rdb. Może to prowadzić do przerwania działania usługi.
Rekomendacja
Zaleca się niezwłoczne zastosowanie dostępnej łatki (patch) oraz ograniczenie dostępu do katalogu danych i źródeł replikacji, aby uniemożliwić atakującemu dostarczenie złośliwego pliku.
Inne podatności w valkey
Zobacz wszystkie- CVE-2026-85522Średnie
Wykryto podatność w valkey-io valkey do wersji 9.5.4/9.1.0. Dotyczy ona funkcji createSlotImportJob w pliku src/cluster_migrateslots.c w komponencie Slot Migration. Manipulacja argumentem job_name prowadzi do odczytu poza zakresem. Atak może być wykonany zdalnie. Exploit jest publiczny i może być użyty. Aktualizacja do wersji 9.0.5 i 9.1.1 rozwiązuje ten problem. Zalecana jest aktualizacja.
- CVE-2026-82677Niskie
Wykryto podatność w valkey-io valkey 9.1.0. Funkcja moduleTimerHandler w pliku src/module.c komponentu Module Timer Subsystem powoduje podwójne zwolnienie (double free). Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Dostępna jest poprawka.
- CVE-2026-82631Niskie
Wykryto podatność w valkey-io valkey 9.1.0. Funkcja handleClientsBlockedOnKey w pliku src/blocked.c komponentu Blocked-on-keys Subsystem jest podatna na użycie po zwolnieniu (use after free). Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność. Exploit jest publiczny, a poprawka dostępna.
- CVE-2026-63639Wysokie
Podatność use-after-free w Valkey przed wersjami 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1. Polecenie RESTORE akceptuje uszkodzony strumień RDB, który przypisuje jeden NACK do wielu konsumentów, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-56684Wysokie
Valkey, rozproszona baza danych klucz-wartość, zawiera podatność use-after-free w funkcji tlsProcessPendingData. Uwierzytelniony klient może wywołać CLIENT KILL, co prowadzi do usunięcia węzła z listy i potencjalnie do awarii serwera lub zdalnego wykonania kodu, gdy TLS jest włączony. Problem został naprawiony w wersjach 7.2.14, 8.0.10, 8.1.9, 9.0.5 i 9.1.1.
- CVE-2026-27623Wysokie
Podatność w Valkey od wersji 9.0.0 do 9.0.2 pozwala atakującemu z dostępem sieciowym na przerwanie działania serwera poprzez wysłanie specjalnie spreparowanego żądania. Problem wynika z nieprawidłowego resetowania stanu sieci po przetworzeniu pustego żądania, co prowadzi do naruszenia asercji i awarii systemu.
- CVE-2026-21863Wysokie
Podatność w Valkey umożliwia atakującemu z dostępem do portu clusterbus wysłanie nieprawidłowego pakietu, co może prowadzić do odczytu poza zakresem i awarii systemu. Problem dotyczy braku walidacji położenia pakietu ping extension w buforze.
- CVE-2025-67733Wysokie
Podatność w Valkey umożliwia złośliwemu użytkownikowi wstrzyknięcie dowolnych informacji do strumienia odpowiedzi klienta poprzez skrypty Lua. Błąd wynika z nieprawidłowego obsługiwania znaków null w kodzie obsługi błędów skryptów Lua, co może prowadzić do uszkodzenia lub podmiany danych dla innych użytkowników na tym samym połączeniu.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in valkey-io valkey up to 9.0.5/9.1.1. This affects the function kvstoreGetHashtable of the file src/kvstore.c. This manipulation of the argument didx causes out-of-bounds read. It is possible to initiate the attack remotely. The attack is considered to have high complexity. It is indicated that the exploitability is difficult. The exploit has been made available to the public and could be used for attacks. Patch name: 4691888e7fab3df128f0bde5750c9fde2ae552fa. To fix this issue, it is recommended to deploy a patch. Exploitation requires cluster mode plus attacker-controlled dump.rdb at startup (data-dir write access, replication feed, or a stored crafted RDB) - an attacker-position DoS at boot, not network pre-auth. The issue report was closed stating it "is worth fixing for the sake of memory safety… but I don't think it meets our bar for a security disclosure."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS