● 点击↑蓝字关注我们，获取更多安全风险通告
|
漏洞概述 |
|||
|
漏洞名称 |
Redis hyperloglog 远程代码执行漏洞 |
||
|
漏洞编号 |
QVD-2025-26361，CVE-2025-32023 |
||
|
公开时间 |
2025-07-07 |
影响量级 |
百万级 |
|
奇安信评级 |
高危 |
CVSS 3.1分数 |
7.0 |
|
威胁类型 |
代码执行 |
利用可能性 |
高 |
|
POC状态 |
已公开 |
在野利用状态 |
未发现 |
|
EXP状态 |
未公开 |
技术细节状态 |
未公开 |
|
危害描述：经过身份验证的本地用户可以使用特制的字符串来触发 hyperloglog 操作中的堆栈/堆越界写入，从而可能导致远程代码执行。 |
|||
影响组件
Redis 是一个开源的、基于内存的数据库，它支持多种数据结构，如字符串、哈希表、列表、集合等。Redis 具有高性能、低延迟的特点，广泛应用于缓存、消息队列、会话存储等场景。
漏洞描述
近日，奇安信CERT监测到官方修复Redis hyperloglog 远程代码执行漏洞(CVE-2025-32023)，该漏洞产生的原因是 Redis 在处理 hyperloglog 操作时，未对输入字符串进行严格验证，导致经过身份验证的本地用户可以使用特制的字符串来触发 hyperloglog 操作中的堆栈/堆越界写入，从而可能导致远程代码执行。目前该漏洞POC已在互联网上公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
影响版本
8.0.* <= Redis < 8.0.3
其他受影响组件
无
目前，奇安信威胁情报中心安全研究员已成功复现Redis hyperloglog 远程代码执行漏洞(CVE-2025-32023)，截图如下：
安全更新
目前官方已有可更新版本，建议受影响用户升级至最新版本：
修复缓解措施：
[1]https://github.com/redis/redis/security/advisories/GHSA-rp2m-q4j6-gr43
[2]https://github.com/redis/redis/commit/50188747cbfe43528d2719399a2a3c9599169445
2025年7月8日，奇安信 CERT发布安全风险通告。
原文始发于微信公众号（奇安信 CERT）：【已复现】Redis hyperloglog 远程代码执行漏洞(CVE-2025-32023)安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论