PT-2025-17641 · Redis+8 · Redis+8
Polaris-Alioth
·
Publicado
2025-04-23
·
Atualizado
2026-01-21
·
CVE-2025-21605
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do Software Vulnerável e Versões Afetadas
Versões do Redis de 2.6 a 7.4.2
Descrição
O Redis é um banco de dados em memória, de código aberto, que persiste dados em disco. Um cliente não autenticado pode causar o crescimento ilimitado dos buffers de saída, até que o servidor esgote a memória ou seja encerrado. Por padrão, a configuração do Redis não limita o buffer de saída de clientes normais. O buffer de saída pode crescer ilimitadamente ao longo do tempo, esgotando o serviço e tornando a memória indisponível. Quando a autenticação por senha está habilitada no servidor Redis, mas nenhuma senha é fornecida, o cliente ainda pode causar o crescimento do buffer de saída através das respostas "NOAUTH" até que o sistema esgote a memória.
Recomendações
Para as versões de 2.6 a 7.4.2, atualize para a versão 7.4.3 para resolver o problema.
Como medida paliativa temporária, considere bloquear o acesso para impedir que usuários não autenticados se conectem ao Redis, utilizando ferramentas de controle de acesso à rede como firewalls, iptables, grupos de segurança, etc., ou habilitando TLS e exigindo que os usuários se autentiquem utilizando certificados de cliente.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Debian
Red Hat
Red Os
Redis
Rocky Linux
Suse