PT-2026-37086 · Redis+1 · Redis-Server+2

Yoni Shiraz

·

Publicado

2026-05-05

·

Atualizado

2026-06-11

·

CVE-2026-23631

CVSS v2.0

8.5

Alta

VetorAV:N/AC:L/Au:S/C:N/I:C/A:C
Nome do Software Vulnerável e Versões Afetadas redis-server versões anteriores a 8.6.3
Description Um invasor autenticado pode explorar o mecanismo de sincronização mestre-réplica no redis-server para disparar uma condição de use-after-free em réplicas onde a configuração replica-read-only está desativada ou pode ser desativada. Este problema, que envolve o interpretador de scripts Lua, pode levar à execução remota de código.
Recommendations Atualizar para a versão 8.6.3. Impedir que os usuários executem scripts Lua como uma solução temporária. Evitar o uso de réplicas onde o replica-read-only esteja desativado.

Exploit

Correção

RCE

Use After Free

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

ALSA-2026:25219
BDU:2026-06451
BIT-KEYDB-2026-23631
BIT-REDIS-2026-23631
BIT-VALKEY-2026-23631
CVE-2026-23631
OESA-2026-2237
OPENSUSE-SU-2026:10711-1
OPENSUSE-SU-2026:10719-1

Produtos afetados

Redis
Rocky Linux
Redis-Server