Опубликованы корректирующие выпуски СУБД Redis 6.2.6, 6.0.16 и 5.0.14, в которых устранено 8 уязвимостей. Всем пользователям рекомендовано срочно обновить Redis до новых версий.
- Четыре уязвимости (CVE-2021-41099, CVE-2021-32687, CVE-2021-32628, CVE-2021-32627) могут привести к переполнению буфера при обработке специально оформленных команд и сетевых запросов, но для эксплуатации необходимо чтобы некоторые параметры конфигурации (proto-max-bulk-len, set-max-intset-entries, hash-max-ziplist-*, proto-max-bulk-len, client-query-buffer-limit) были выставлены в очень большие значения.
- Уязвимость CVE-2021-32762 может привести к переполнению буфера в redis-cli и redis-sentinel при разборе больших ответов на старых платформах.
- Уязвимость CVE-2021-32675 может привести к отказу в обслуживании при обработке интенсивно поступающих RESP-запросов с большим числом элементов.
- Уязвимость CVE-2021-32672 может привести к чтению содержимого памяти через манипуляции с Lua Debugger.
- Уязвимость CVE-2021-32626 позволяет вызвать переполнение буфера при запуске специально оформленных Lua-скриптов.
