PT-2025-1017
CVE-2024-46981
·
تاريخ النشر
2024-07-18
·
تاريخ التحديث
2025-10-21
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Redis الأقدم من 7.4.2
إصدارات Redis الأقدم من 7.2.7
إصدارات Redis الأقدم من 6.2.17
الوصف
تتعلق المشكلة بثغرة أمنية من نوع «الاستخدام بعد التحرير» (use-after-free) في Redis، والتي يمكن استغلالها عن طريق التلاعب بمجمع القمامة (garbage collector) باستخدام برنامج نصي Lua مصمم خصيصًا لهذا الغرض. وقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد. يمكن للمستخدم المصادق عليه استخدام هذا البرنامج النصي للتلاعب بآلية جمع القمامة. تم إصلاح المشكلة في الإصدارات 7.4.2 و7.2.7 و6.2.17.
التوصيات
بالنسبة للإصدارات الأقدم من 7.4.2، قم بالتحديث إلى الإصدار 7.4.2 أو أحدث لحل المشكلة.
بالنسبة للإصدارات الأقدم من 7.2.7، قم بالتحديث إلى الإصدار 7.2.7 أو أحدث لحل المشكلة.
بالنسبة للإصدارات الأقدم من 6.2.17، قم بالتحديث إلى الإصدار 6.2.17 أو أحدث لحل المشكلة.
كإجراء مؤقت، ضع في اعتبارك منع المستخدمين من تشغيل نصوص Lua عن طريق تقييد الأوامر
EVAL وEVALSHA باستخدام قائمة التحكم في الوصول (ACL) لتقليل مخاطر الاستغلال.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾