Обнаружены уязвимости нулевого дня в Redis, исследователи разработали эксплойт RCE
 

https://blogger.googleusercontent.co...redis-0day.jpg

23 июля Redis выпустил семь обновлений безопасности после того, как исследователи представили подтвержденные PoC (доказательства концепции) удаленного выполнения кода (RCE) для версий Redis 6.2.22, 7.4.9, 8.6.4 и 8.8.0. Все четыре цепочки атак требуют использования команды RESTORE. Для цепочек, связанных с потоками, также необходимы команды EVAL и XGROUP; для версии 8.8.0 требуется EVAL и модуль RedisBloom.

По словам разработчиков Redis, обнаруженные уязвимости в памяти могут привести к удаленному выполнению кода, что делает системы, использующие эти версии, уязвимыми для атак. Уязвимости были выявлены командой Kimi K3, которая также разработала эксплойт, позволяющий использовать эти уязвимости в реальных условиях.

Обновления безопасности, выпущенные Redis, включают версии 6.2.23, 7.2.15 и 7.4.10, в которых исправлены выявленные уязвимости. Разработчики настоятельно рекомендуют пользователям обновить свои системы до последних версий, чтобы избежать возможных атак.

Исследователи безопасности предупреждают, что уязвимости могут быть использованы злоумышленниками для выполнения произвольного кода на удаленных серверах, что может привести к серьезным последствиям для безопасности данных и инфраструктуры.

Пользователи Redis должны обратить особое внимание на рекомендации по обновлению и следить за новыми выпусками, поскольку уязвимости в популярных системах управления базами данных могут быть использованы в атаках на предприятия и организации по всему миру.

Источник новости:
The Hacker News

Читать полностью