CVE-2025-49844
Açıklama
Redis, disk üzerinde kalıcı olan açık kaynaklı, bellek içi bir veritabanıdır. 8.2.1 ve altı sürümler, kimliği doğrulanmış bir kullanıcının özel olarak hazırlanmış bir Lua betiği kullanarak çöp toplayıcıyı manipüle etmesine, bir serbest bırakıldıktan sonra kullanım (use-after-free) durumunu tetiklemesine ve potansiyel olarak uzaktan kod çalıştırmaya yol açmasına izin verir. Sorun, Lua betikleme özelliğine sahip tüm Redis sürümlerinde mevcuttur. Bu sorun 8.2.2 sürümünde düzeltilmiştir. redis-server yürütülebilir dosyasını yamalamadan bu sorunu gidermek için geçici çözüm, kullanıcıların Lua betikleri çalıştırmasını engellemektir. Bu işlem, EVAL ve EVALSHA komutlarını kısıtlamak için ACL kullanılarak yapılabilir.
Nasıl düzeltilir
- redis redis6.2.20, 7.2.11, 7.4.6, 8.0.4, 8.2.2 ya da sonraki bir sürüm
- lfprojects valkey7.2.11, 8.0.6, 8.1.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redis redis | v < 6.2.20, 7.0 ≤ v < 7.2.11, 7.4.0 ≤ v < 7.4.6, 8.0.0 ≤ v < 8.0.4, 8.2.0 ≤ v < 8.2.2 | 6.2.20, 7.2.11, 7.4.6, 8.0.4, 8.2.2 |
| lfprojects valkey | v < 7.2.11, 8.0.0 ≤ v < 8.0.6, 8.1.0 ≤ v < 8.1.4 | 7.2.11, 8.0.6, 8.1.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.