Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-02940

Опубликовано: 27 апр. 2022
Источник: fstec
CVSS3: 3.3
CVSS2: 1.7
EPSS Низкий

Описание

Уязвимость системы управления базами данных Redis связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально сформированного скрипта Lua

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Red Hat Inc.
Fedora Project
Redis Labs

Наименование ПО

Debian GNU/Linux
Astra Linux Special Edition
Red Hat Enterprise Linux
Red Hat Software Collections
Fedora
Redis

Версия ПО

9 (Debian GNU/Linux)
1.6 «Смоленск» (Astra Linux Special Edition)
8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
- (Red Hat Software Collections)
34 (Fedora)
11 (Debian GNU/Linux)
35 (Fedora)
36 (Fedora)
до 6.2.7 (Redis)
до 7.0.0 (Redis)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 34
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Fedora Project Fedora 35
Fedora Project Fedora 36

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 1,7)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Redis:
https://github.com/redis/redis/releases/tag/6.2.7
https://github.com/redis/redis/releases/tag/7.0.0
Для Debian:
https://security-tracker.debian.org/tracker/CVE-2022-24736
Для Fedora:
https://bodhi.fedoraproject.org/updates/FEDORA-2022-a0a4c7eb31
https://bodhi.fedoraproject.org/updates/FEDORA-2022-6ed1ce2838
https://bodhi.fedoraproject.org/updates/FEDORA-2022-44373f6778
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-24736
Организационные меры:
- использование списка управления доступом (Access Control List (ACL)) для блокировки доступа к командам SCRIPT LOAD и EVAL
Для Astra Linux 1.6 «Смоленск»:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20230525SE16MD

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 56%
0.00344
Низкий

3.3 Low

CVSS3

1.7 Low

CVSS2

Связанные уязвимости

CVSS3: 3.3
ubuntu
больше 3 лет назад

Redis is an in-memory database that persists on disk. Prior to versions 6.2.7 and 7.0.0, an attacker attempting to load a specially crafted Lua script can cause NULL pointer dereference which will result with a crash of the redis-server process. The problem is fixed in Redis versions 7.0.0 and 6.2.7. An additional workaround to mitigate this problem without patching the redis-server executable, if Lua scripting is not being used, is to block access to `SCRIPT LOAD` and `EVAL` commands using ACL rules.

CVSS3: 3.3
redhat
больше 3 лет назад

Redis is an in-memory database that persists on disk. Prior to versions 6.2.7 and 7.0.0, an attacker attempting to load a specially crafted Lua script can cause NULL pointer dereference which will result with a crash of the redis-server process. The problem is fixed in Redis versions 7.0.0 and 6.2.7. An additional workaround to mitigate this problem without patching the redis-server executable, if Lua scripting is not being used, is to block access to `SCRIPT LOAD` and `EVAL` commands using ACL rules.

CVSS3: 3.3
nvd
больше 3 лет назад

Redis is an in-memory database that persists on disk. Prior to versions 6.2.7 and 7.0.0, an attacker attempting to load a specially crafted Lua script can cause NULL pointer dereference which will result with a crash of the redis-server process. The problem is fixed in Redis versions 7.0.0 and 6.2.7. An additional workaround to mitigate this problem without patching the redis-server executable, if Lua scripting is not being used, is to block access to `SCRIPT LOAD` and `EVAL` commands using ACL rules.

CVSS3: 5.5
msrc
больше 3 лет назад

Описание отсутствует

CVSS3: 3.3
debian
больше 3 лет назад

Redis is an in-memory database that persists on disk. Prior to version ...

EPSS

Процентиль: 56%
0.00344
Низкий

3.3 Low

CVSS3

1.7 Low

CVSS2