CVE-2021-32762
Açıklama
Redis, disk üzerinde kalıcılık sağlayan açık kaynaklı, bellek içi bir veritabanıdır. redis-cli komut satırı aracı ve redis-sentinel hizmeti, özel olarak hazırlanmış büyük çoklu toplu ağ yanıtlarını ayrıştırırken tamsayı taşmasına karşı savunmasız olabilir. Bu durum, calloc() yığın ayırma işlevini çağırmadan önce taşma denetimi gerçekleştirmeyen temel hiredis kütüphanesindeki bir güvenlik açığının sonucudur. Bu sorun yalnızca kendi taşma denetimlerini gerçekleştirmeyen yığın ayırıcılara sahip sistemleri etkiler. Çoğu modern sistem bunu gerçekleştirdiğinden büyük olasılıkla etkilenmez. Ayrıca redis-sentinel varsayılan olarak savunmasız olmayan jemalloc ayırıcısını kullanır. Sorun Redis 6.2.6, 6.0.16 ve 5.0.14 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- redis redis5.0.14, 6.0.16, 6.2.6 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VL5KXFN3ATM7IIM7Q4O4PWTSRGZ5744Z/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HTYQ5ZF37HNGTZWVNJD3VXP7I6MEEF42/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WR5WKJWXD4D6S3DJCZ56V74ESLTDQRAB/
- debian.org/security/2021/dsa-5001
- security.gentoo.org/glsa/202209-17
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redis redis | 5.0.0 ≤ v < 5.0.14, 6.0.0 ≤ v < 6.0.16, 6.2.0 ≤ v < 6.2.6 | 5.0.14, 6.0.16, 6.2.6 |
| debian debian_linux | 10.0, 11.0 | — |
| fedoraproject fedora | 33, 34, 35 | — |
| netapp management_services_for_element_software | Aralık belirtilmemiş | — |
| netapp management_services_for_netapp_hci | Aralık belirtilmemiş | — |
| oracle communications_operations_monitor | 4.3, 4.4, 5.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.