一、漏洞概述
漏洞名称
|
Redis 输出缓冲区无限增长漏洞
|
CVE ID
|
CVE-2025-21605
|
漏洞类型
|
资源耗尽
|
发现时间
|
2025-04-24
|
漏洞评分
|
7.5
|
漏洞等级
|
高危
|
攻击向量
|
网络
|
所需权限
|
无
|
利用难度
|
低
|
用户交互
|
不需要
|
PoC/EXP
|
未公开
|
在野利用
|
未发现
|
Redis是一个开源的内存数据结构存储系统,广泛应用于缓存、消息队列、实时分析等场景。它支持多种数据结构,如字符串、哈希、列表、集合、有序集合等,并提供丰富的操作命令。Redis具有高性能、灵活性和持久化能力,数据可以保存在内存中,定期或根据需求同步到磁盘。它支持主从复制、分区和高可用性配置,常用于提高系统响应速度和可扩展性。由于其高效的读取和写入性能,Redis成为现代分布式系统中不可或缺的组件之一。
2025年4月24日,启明星辰集团VSRC监测到Redis官方发布的安全公告,在7.4.3 > Redis >= 2.6版本中,未认证的客户端可以导致输出缓冲区无限增长,直到服务器内存耗尽或进程被终止。默认配置下,Redis不限制普通客户端的输出缓冲区,允许其无限增长,导致服务崩溃或内存不可用。即使启用了密码认证,但未提供密码,客户端仍可通过"NOAUTH"响应导致缓冲区增长,最终耗尽系统内存。
二、影响范围
三、安全措施
官方已发布安全更新,建议受影响用户尽快升级至Redis 7.4.3版本。
https://github.com/redis/redis/releases/
定期更新系统补丁,减少系统漏洞,提升服务器的安全性。
加强系统和网络的访问控制,修改防火墙策略,关闭非必要的应用端口或服务,减少将危险服务(如SSH、RDP等)暴露到公网,减少攻击面。
加强系统用户和权限管理,启用多因素认证机制和最小权限原则,用户和软件权限应保持在最低限度。
https://github.com/redis/redis/releases/tag/7.4.3
https://github.com/redis/redis/security/advisories/GHSA-r67f-p999-2gff
原文始发于微信公众号(启明星辰安全简讯):【漏洞通告】Redis 输出缓冲区无限增长漏洞(CVE-2025-21605)
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
点赞
http://cn-sec.com/archives/3995961.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论