PT-2025-28183
CVE-2025-32023
·
Publicado
2025-07-06
·
Atualizado
2026-03-24
Descrição por
CVSS 3.1
7.8
AltaMétricasAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas:
Versões do Redis 2.8 até 8.0.3, 7.4.5, 7.2.10 e 6.2.19. Versões do Valkey até 8.1.3 e 8.0.4 também são afetadas.
Descrição:
O Redis e o Valkey são vulneráveis a um overflow de buffer baseado em heap na funcionalidade HyperLogLog. Um atacante autenticado pode explorar essa vulnerabilidade enviando uma string especialmente elaborada, potencialmente levando à execução remota de código (RCE). A causa raiz é um overflow de inteiro na função
hllMerge() ao processar dados esparsos do HyperLogLog, levando a uma escrita fora dos limites. Um exploit Proof-of-Concept (PoC) está disponível. A vulnerabilidade afeta as versões 2.8 e posteriores do Redis, até e incluindo 8.0.3, 7.4.5, 7.2.10 e 6.2.19. Versões do Valkey até 8.1.3 e 8.0.4 também são impactadas.Recomendações:
- Atualize o Redis para a versão 8.0.3 ou posterior, 7.4.5 ou posterior, 7.2.10 ou posterior, ou 6.2.19 ou posterior.
- Atualize o Valkey para a versão 8.1.3 ou 8.0.4 ou posterior.
- Como mitigação temporária, restrinja o acesso aos comandos HyperLogLog usando ACLs:
ACL SETUSER username -pfadd -pfcount -pfmerge. - Monitore operações HyperLogLog anômalas, falhas inesperadas e tráfego de rede incomum.
- Limite o acesso de rede às instâncias do Redis e Valkey para fontes confiáveis e implemente mecanismos de autenticação robustos.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾