The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимости в СУБД Redis и Valkey

07.07.2025 11:27

Опубликованы корректирующие выпуски СУБД Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) и Valkey (8.0.4, 8.1.3), в которых устранены две уязвимости. Наиболее опасная уязвимость (CVE-2025-32023) потенциально может привести к удалённому выполнению кода на сервере из-за записи данных в область за пределами выделенного буфера. Для эксплуатации уязвимости атакующий должен иметь возможность отправки команд в СУБД.

Проблема вызвана ошибкой в реализации команд, использующих алгоритм HyperLogLog для реализации функциональности приблизительного подсчёта уникальных элементов во множестве. Через передачу специально оформленной строки атакующий может инициировать переполнение буфера. Проблема затрагивает все версии Redis с поддержкой команд HLL. В качестве обходного пути защиты можно ограничить доступ пользователей к командам HLL через ACL.

Вторая уязвимость (CVE-2025-48367) может использоваться аутентифицированным пользователем для организации отказа в обслуживании или снижения производительности СУБД. Проблема вызвана некорректной обработкой ошибок при установке соединений.

  1. Главная ссылка к новости (https://github.com/valkey-io/v...)
  2. OpenNews: Сравнение производительности СУБД Valkey и Redis
  3. OpenNews: Проект Redis вернулся на использование открытой лицензии. Представлен Redis 8.0
  4. OpenNews: Опубликован Valkey 8.1, форк СУБД Redis от Amazon, Google, Oracle и Ericsson
  5. OpenNews: Критическая уязвимость в СУБД Redis
  6. OpenNews: Уязвимость в СУБД Redis, потенциально позволяющая выполнить свой код
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/63537-redis
Ключевые слова: redis, valkey
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (32) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 11:49, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    https://www.opennet.me/opennews/art.shtml?num=60808 надо - там такого нету.
     
     
  • 2.23, Аноним (-), 17:56, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > https://www.opennet.me/opennews/art.shtml?num=60808 надо - там такого нету.

    Там все намного хуже:

    > Проект написан на языке C#

    Это сразу черная метка.

     
     
  • 3.30, Эксконтрибутор FreeBSD (?), 21:17, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/

    C 73.5%
    Tcl 24.8%
    Python 0.5%
    CMake 0.3%
    Ruby 0.3%
    Makefile 0.3%
    Other 0.3%

    Что ты несешь, блин?

     
  • 2.35, OpenEcho (?), 21:26, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А ничего что сам Мелкософт говорит что Гарнет не замена Редиски?
     

  • 1.2, Аноним (-), 12:05, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > к удалённому выполнению кода на сервере из-за записи
    > данных в область за пределами выделенного буфера.

    Проблема вызвана ошибкой в src/hyperloglog.c

    Ха-ха, классик. Ничего нового.

     
     
  • 2.3, User (??), 12:17, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Не пристало самураю жаловаться на остроту его меча!
    Таков путь.
     
  • 2.4, Аноним (4), 12:24, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Над чем смеетесь? Над собой смеетесь!
     
  • 2.12, Аноним (12), 14:21, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Смеёшься что не смог переписать на Раст?
     
     
  • 3.13, Аноним (1), 14:52, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Микрософт уже переписали на C# - тоже безопасный язык.
     
     
  • 4.14, Аноним (14), 15:04, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Микрософт… и безопасный…

    шутите?

     
  • 4.17, keydon (ok), 15:46, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    А до этого еще безопасная джава была (привет андройд). И безопасный js (привет веб 2000ых). Теперь вот безопасный раст (привет карго).
     

  • 1.7, Аноним (7), 12:36, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > Проблема вызвана ошибкой в реализации ... для приблизительного подсчёта

    Ха-ха-ха! Это пять!

     
     
  • 2.16, Аноним (12), 15:08, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Причина тряски?
     
     
  • 3.29, YetAnotherOnanym (ok), 20:21, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Слово знакомое увидел.
     
     
  • 4.32, Аноним (32), 21:20, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Твой ник увидел. И не может содержаться от смеха.
     

  • 1.8, Аноним (-), 12:41, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > алгоритм HyperLogLog для приблизительного подсчёта уникальных элементов
    > приблизительного

    кидали бы про rand, чего уж там мелочится
    можно на всякий случай проверить на кубике d20, а лучше на d100!

     
     
  • 2.18, Аноним (18), 16:07, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Экспертиза опеннет на марше. Что такое HLL и для чего он нужен не знают, но мнение имеют.

    Осталось два месяца.

     

  • 1.10, Аноним (-), 13:28, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Интересно, они в курсе от такой вещи как тесты?
    Ну типа написать тест, который будет скармливать разные виды строк.
    Или даже фаззинг натравить.
     
     
  • 2.11, Аноним (12), 14:20, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ты хочешь оплатить работу человека, который это все сделает? То что ты говоришь хорошо только в идеальном мире.
     
     
  • 3.19, Аноним (18), 16:34, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Проекты опенсорсные, так что можно ничего не оплачивать, а просто стать тем человеком, который всё это сделает и отправит PR.
     
     
  • 4.20, пох. (?), 17:22, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    нельзя, для этого надо не щупать одногруппниц на лекции второго курса про "тесты", а кодить уметь. (А когда, если вдруг, кодить научится - узнает печальную новость что тестами эту проблему не решить.)

     
     
  • 5.21, Аноним (1), 17:33, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Да, потому что она решается только выкидываением устаревшего рантайма ("C" не так сильно устарел, как его рантайм с опасными функциями).
     
     
  • 6.27, _ (??), 19:04, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Но _ТЫ_ не решишь :) - потому как рукожоп зело...
    Да и однокласниц ты не щупал, не давали они тебе :-Р
     
  • 5.22, Аноним (18), 17:49, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > для этого надо не щупать одногруппниц на лекции второго курса про "тесты", а кодить уметь

    Не надо грязи, на те специальности где тесты и кодить одногруппниц не бывает. А те, 3,5 исключения, что туда по ошибке заблудились — лучшая реклама целибата, ты их сам щупать не захочешь. Так что дело за малым: сесть и накодить тестов, фаззинга, приправить статическими анализаторами и попытаться убедить «матёрых»™ «программистов»™ вмержить этот балаган в мастер^Wмэйн.

     
     
  • 6.25, пох. (?), 18:56, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Не надо грязи, на те специальности где тесты и кодить одногруппниц не бывает.

    тьфуй, мерзость какая. Сплошная запрещенная в рф экстримисская пропаганда у вас получается!

    Не, если фаззинг принесет им в клювике готовый баг - убеждать ни в чем будет не надо, просто показывай как есть, исправят, как в любом относительно живом проекте, а эти - живые. (совершенно необязательно чтобы баг был уязвимостью)

    Но обычно лапки мешают что-то обнаружить этим мастерам, знающим кунфу, джиуджитсу и еще много страшных слов.

     
  • 6.28, _ (??), 19:09, 07/07/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 7.33, нах. (?), 21:20, 07/07/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 3.24, Аноним (24), 18:35, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Акстись, аноним. Тесты делаются через ИИ за полчаса. За $20 в месяц.
     
     
  • 4.26, пох. (?), 18:57, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Акстись, аноним. Тесты делаются через ИИ за полчаса. За $20 в месяц.

    и чего ж это ты еще не сделал?


     
     
  • 5.36, Аноним (36), 21:54, 07/07/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 4.31, Аноним (32), 21:19, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Акстись, аноним ты в своем городе никогда не заработаешь такие деньжищи.
     
     
  • 5.34, нах. (?), 21:21, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Акстись, аноним ты в своем городе никогда не заработаешь такие деньжищи.

    да я готов одолжить, только ведь хрен он и с "деньжищами" чего сможет.

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру