CVE-2021-29478
Təsvir
Redis açıq mənbəli (BSD lisenziyalı), verilənlər bazası, keş və mesaj vasitəçisi kimi istifadə olunan yaddaşdaxili məlumat strukturu anbarıdır. Redis 6.2 versiyasının 6.2.3-dən əvvəlki versiyalarında mövcud olan tam ədəd daşması (integer overflow) xətası heap-i korlamaq üçün istismar edilə bilər və potensial olaraq uzaqdan kodun icrasına səbəb ola bilər. Redis 6.0 və daha erkən versiyalar bu problemdən birbaşa təsirlənmir. Problem 6.2.3 versiyasında düzəldilib. `redis-server` icra faylını yeniləmədən problemi azaltmaq üçün əlavə alternativ yol, istifadəçilərin `set-max-intset-entries` konfiqurasiya parametrini dəyişməsinin qarşısını almaqdır. Bu, imtiyazsız istifadəçilərin `CONFIG SET` komandasından istifadəsini məhdudlaşdırmaq üçün ACL-dən istifadə etməklə həyata keçirilə bilər.
Necə düzəltmək olar
- redislabs redis6.2.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redislabs redis | 6.2.0 ≤ v < 6.2.3 | 6.2.3 |
| fedoraproject fedora | 33, 34 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.