CVE-2021-41099
Açıklama
Redis, disk üzerinde kalıcı olan açık kaynaklı, bellek içi bir veritabanıdır. Temel dize kütüphanesindeki bir tamsayı taşması hatası, yığının bozulmasına yol açabilir ve potansiyel olarak hizmet reddi veya uzaktan kod çalıştırma ile sonuçlanabilir. Güvenlik açığı, varsayılan proto-max-bulk-len yapılandırma parametresinin çok büyük bir değere getirilmesini ve özel olarak hazırlanmış ağ yüklerinin veya komutların oluşturulmasını içerir. Sorun Redis 6.2.6, 6.0.16 ve 5.0.14 sürümlerinde düzeltilmiştir. redis-server yürütülebilir dosyasını yamalamadan sorunu hafifletmek için ek bir geçici çözüm, kullanıcıların proto-max-bulk-len yapılandırma parametresini değiştirmesini engellemektir. Bu işlem, yetkisiz kullanıcıların CONFIG SET komutunu kullanmasını kısıtlamak için ACL kullanılarak yapılabilir.
Nasıl düzeltilir
- redis redis5.0.14, 6.0.16, 6.2.6 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VL5KXFN3ATM7IIM7Q4O4PWTSRGZ5744Z/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HTYQ5ZF37HNGTZWVNJD3VXP7I6MEEF42/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WR5WKJWXD4D6S3DJCZ56V74ESLTDQRAB/
- debian.org/security/2021/dsa-5001
- security.gentoo.org/glsa/202209-17
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redis redis | 5.0.0 ≤ v < 5.0.14, 6.0.0 ≤ v < 6.0.16, 6.2.0 ≤ v < 6.2.6 | 5.0.14, 6.0.16, 6.2.6 |
| fedoraproject fedora | 33, 34, 35 | — |
| debian debian_linux | 10.0, 11.0 | — |
| netapp management_services_for_element_software_and_netapp_hci | Aralık belirtilmemiş | — |
| oracle communications_operations_monitor | 4.3, 4.4, 5.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.