Исследователи нашли zero-day уязвимости в Redis и создали эксплойты для 4 версий
Материал подготовлен искусственным интеллектом на основе нескольких источников — ссылки на оригиналы приведены ниже.
23 июля исследователи опубликовали аутентифицированные PoC-эксплойты удалённого выполнения кода для стандартных Redis 6.2.22, 7.4.9, 8.6.4 и 8.8.0. В тот же день Redis выпустил семь обновлений безопасности для устранения лежащих в основе ошибок памяти. По состоянию на 24 июля эксплуатация в реальных атаках не зафиксирована.
Уязвимости
Все четыре цепочки эксплойтов требуют команды RESTORE. Цепочки Streams также нуждаются в EVAL и XGROUP; цепочка для 8.8.0 дополнительно требует модуля RedisBloom. Redis заявил, что ошибки памяти могут привести к удалённому выполнению кода. Две цели PoC, Redis 6.2.22 и 7.4.9, были майскими обновлениями безопасности, которые Redis рекомендовал установить, но эти релизы не включали защиту от совместного владения shared-NACK.
Два пути эксплуатации
Путь Redis Streams использует ошибку совместного владения: повреждённый объект RDB может заставить два потребителя указывать на одну и ту же запись, вызывая двойное освобождение при удалении обоих. Путь RedisBloom — это запись за границы в загрузчике TDigest RDB, который выделяет память из одного сериализованного значения, но доверяет отдельному полю ёмкости, контролируемому атакующим. Обе цепочки предназначены для превращения повреждения памяти в произвольное выполнение кода через system().
Патчи и смягчение
Redis 6.2.23, 7.2.15 и 7.4.10 исправляют use-after-free в shared-NACK Streams. Redis 8.2.8, 8.4.5 и 8.6.5 исправляют как проблему Streams, так и записи за границы в RedisBloom и TDigest. Redis 8.8.1 исправляет загрузчики RedisBloom и TDigest; защита Streams уже присутствовала в 8.8.0. До установки обновлений Redis рекомендует отозвать RESTORE у учётных записей, которым он не требуется, и заблокировать недоверенный сетевой доступ.
Что дальше
Пользователям настоятельно рекомендуется немедленно обновиться до исправленной версии для используемой ветки. Остаётся неясным, будут ли злоумышленники использовать эти эксплойты в активных атаках, хотя по состоянию на 24 июля эксплуатация в реальных условиях не обнаружена.
1 источник
Исследователи нашли zero-day уязвимости в Redis и создали эксплойты для 4 версий
