CVE-2025-29923
Təsvir
go-redis, Go proqramlaşdırma dili üçün rəsmi Redis klient kitabxanasıdır. 9.5.5, 9.6.3 və 9.7.2 versiyalarından əvvəlki versiyalarda, bağlantının qurulması zamanı `CLIENT SETINFO` vaxtaşımına (timeout) uğradığında, go-redis potensial olaraq cavabları yanlış ardıcıllıqla qaytarır. Bu, klient öz kimliyini ötürmək üçün konfiqurasiya edildikdə, şəbəkə bağlantısı problemləri olduqda və ya klient aqressiv vaxtaşımaları ilə konfiqurasiya edildikdə baş verə bilər. Problem bir neçə istifadə ssenarisində ortaya çıxır. Yapışqan (sticky) bağlantılar üçün bağlantının ömrü boyu davamlı olaraq yanlış ardıcıllıqlı cavablar alırsınız. Pipeline-dakı bütün əmrlər yanlış cavablar alır. Defolt ConnPool ilə istifadə edildikdə, bağlantı ConnPool#Put vasitəsilə istifadədən sonra geri qaytarıldıqda oxuma buferi yoxlanılır və oxunmamış məlumatlara görə bağlantı pis (bad) kimi qeyd edilir. Bu o deməkdir ki, bağlantı ləğv edilməzdən əvvəl maksimum bir yanlış ardıcıllıqlı cavab alınır. Bu problem 9.5.5, 9.6.3 və 9.7.2 versiyalarında düzəldilib; lakin 9.7.2 versiyası geri çəkilib (yanked) və 9.7.x budağında mövcud olan ən aşağı yamalı versiya 9.7.3-dür. Müvəqqəti həll yolu kimi, klient instansiyasını yaradarkən `DisableIndentity` bayrağını `true` olaraq təyin edin.
Necə düzəltmək olar
- github.com/redis/go-redis/v99.7.3, 9.6.3, 9.5.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/redis/go-redis/v9Go | 9.7.0-beta.1 ≤ v < 9.7.3, 9.6.0b1 ≤ v < 9.6.3, 9.5.1 ≤ v < 9.5.5, v < 9.6.3 | 9.7.3, 9.6.3, 9.5.5 |
| github.com/redis/go-redisGo | Aralıq göstərilməyib | — |
| github.com/redis/go-redis/v7Go | Aralıq göstərilməyib | — |
| github.com/redis/go-redis/v8Go | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.