Redis hyperloglog 远程代码执行漏洞(CVE-2025-32023)

漏洞概述

        Redis 是一个高性能的开源键值存储系统，支持多种数据结构如字符串、哈希、列表、集合和有序集合等，广泛用于缓存、消息队列和数据库场景。它基于内存存储，读写速度快，同时提供 RDB 和 AOF 持久化机制，确保数据安全。Redis 还支持事务功能，可以将多个命令打包执行，保证操作的原子性，适用于高并发场景。Redis HyperLogLog 是一种用于统计集合中不重复元素数量的概率型数据结构，基于 HyperLogLog 算法实现。它通过哈希映射和桶机制，以极低的内存占用（通常几十 KB）估算集合的基数，误差范围小且支持高并发操作。它还支持多个 HyperLogLog 对象的合并，适用于独立访客统计、社交网络用户关系统计等场景，能够高效地处理大规模数据集合的基数统计问题。

        CVE-2025-32023 是 Redis HyperLogLog 数据结构中的一个高危漏洞，受影响版本在解析 HyperLogLog 稀疏编码数据时，未能充分验证操作码中的运行长度（run-length），导致攻击者可通过构造恶意数据引发整数溢出，绕过边界检查，最终实现堆内存的越界写入，进而可能触发远程代码执行。

影响范围

漏洞复现

银河哈希已成功复现Redis hyperloglog 远程代码执行漏洞

解决方案

升级至安全版本

https://github.com/redis/redis/releases

临时缓解措施

使用Redis ACL限制用户执行 hyperloglog 操作。

参考文献

https://github.com/redis/redis/releases 

https://github.com/redis/redis/security/advisories/GHSA-rp2m-q4j6-gr43