Redis代码执行漏洞(CVE-2024-46981)

admin 2025年1月11日13:11:25评论211 views字数 586阅读1分57秒阅读模式

Redis代码执行漏洞(CVE-2024-46981)

漏洞描述:

Redis是一个高性能、灵活且易于扩展的键值存储数据库,适用于各种应用场景,可作为缓存、数据库和消息中间件等,具有出色的性能和稳定性,Redis中修复了一个代码执行漏洞(CVE-2024-46981),该漏洞的CVSS评分为7.0,Redis的Lua脚本引擎在处理内存管理时存在漏洞,经过身份验证的用户可以使用特制的Lua脚本来操纵内存回收机制,通过Redis提供的EVAL和EVALSHA命令运行该恶意Lua脚本,从而可能利用该漏洞在Redis服务器上执行任意代码。

影响范围:
Redis < 7.4.2

Redis < 7.2.7

Redis < 6.2.17

:如果Redis配置未限制Lua脚本执行(例如通过 ACL 配置限制 EVAL 和 EVALSHA 命令).则使用Lua脚本的Redis会受到该漏洞的影响。

修复建议:
升级版本
目前该漏洞已经修复,受影响用户可升级到以下版本:
Redis >= 7.4.2

Redis >= 7.2.7

Redis >= 6.2.17

下载链接:
https://github.com/redis/redis/tags

临时措施:
通过阻止用户执行Lua脚本,从而避免恶意 Lua 脚本的执行,可以通过 ACL(访问控制列表)来限制或禁止EVAL和EVALSHA命令的使用。

原文始发于微信公众号(飓风网络安全):【漏洞预警】Redis代码执行漏洞(CVE-2024-46981)

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年1月11日13:11:25
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Redis代码执行漏洞(CVE-2024-46981)https://cn-sec.com/archives/3602850.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息