PT-2024-1476 · Redis · Redis

Jerrytesting · Publicado 2024-01-23 · Atualizado 2024-01-31 · CVE-2023-31654

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do Redis de master-1b8bd86 a master-7b46079

Descrição

O problema está relacionado a uma violação de ODR (Overflow de Dados de Saída) no componente hiredisAllocFns, localizado em /opt/fs/redisraft/deps/hiredis/alloc.c. Isso está associado a um estouro de buffer na memória, que pode ser explorado por um invasor remoto para causar uma negação de serviço ou outros impactos.

Recomendações

Para as versões master-1b8bd86 a master-7b46079, como solução temporária, considere desativar o componente hiredisAllocFns até que um patch esteja disponível.

Restrinja o acesso ao arquivo /opt/fs/redisraft/deps/hiredis/alloc.c para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Buffer Overflow

Enumeração de Fraquezas

CWE-119

Identificadores relacionados

BDU:2024-00983

CVE-2023-31654

Produtos afetados

Redis

Referências · 8

• 🔥 https://github.com/RedisLabs/redisraft/issues/600 · Exploit
• https://github.com/RedisLabs/redisraft/commit/de7c9979bf4477b3ccac9e385dd53a1c084f6f23 · Nota
• https://security.snyk.io/vuln/SNYK-UNMANAGED-REDISLABSREDISRAFT-6209367 · Nota
• https://vuldb.com/?id.251924 · Nota
• https://bdu.fstec.ru/vul/2024-00983 · Nota de Segurança
• https://t.me/cvenotify/68431 · Publicação no Telegram
• https://seclists.org/fulldisclosure/2024/Jan/13 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2023-31654 · Nota de Segurança