The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимости в СУБД Redis и Valkey

07.07.2025 11:27

Опубликованы корректирующие выпуски СУБД Redis (6.2.19, 7.2.10, 7.4.5, 8.0.3) и Valkey (8.0.4, 8.1.3), в которых устранены две уязвимости. Наиболее опасная уязвимость (CVE-2025-32023) потенциально может привести к удалённому выполнению кода на сервере из-за записи данных в область за пределами выделенного буфера. Для эксплуатации уязвимости атакующий должен иметь возможность отправки команд в СУБД.

Проблема вызвана ошибкой в реализации команд, использующих алгоритм HyperLogLog для реализации функциональности приблизительного подсчёта уникальных элементов во множестве. Через передачу специально оформленной строки атакующий может инициировать переполнение буфера. Проблема затрагивает все версии Redis с поддержкой команд HLL. В качестве обходного пути защиты можно ограничить доступ пользователей к командам HLL через ACL.

Вторая уязвимость (CVE-2025-48367) может использоваться аутентифицированным пользователем для организации отказа в обслуживании или снижения производительности СУБД. Проблема вызвана некорректной обработкой ошибок при установке соединений.

  1. Главная ссылка к новости (https://github.com/valkey-io/v...)
  2. OpenNews: Сравнение производительности СУБД Valkey и Redis
  3. OpenNews: Проект Redis вернулся на использование открытой лицензии. Представлен Redis 8.0
  4. OpenNews: Опубликован Valkey 8.1, форк СУБД Redis от Amazon, Google, Oracle и Ericsson
  5. OpenNews: Критическая уязвимость в СУБД Redis
  6. OpenNews: Уязвимость в СУБД Redis, потенциально позволяющая выполнить свой код
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/63537-redis
Ключевые слова: redis, valkey
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (46) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 11:49, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    https://www.opennet.me/opennews/art.shtml?num=60808 надо - там такого нету.
     
     
  • 2.23, Аноним (-), 17:56, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > https://www.opennet.me/opennews/art.shtml?num=60808 надо - там такого нету.

    Там все намного хуже:

    > Проект написан на языке C#

    Это сразу черная метка.

     
     
  • 3.30, Эксконтрибутор FreeBSD (?), 21:17, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/

    C 73.5%
    Tcl 24.8%
    Python 0.5%
    CMake 0.3%
    Ruby 0.3%
    Makefile 0.3%
    Other 0.3%

    Что ты несешь, блин?

     
     
  • 4.44, Аноним (44), 05:03, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    https://github.com/microsoft/garnet
    C# 98.4%
    C++ 1.0%
    PowerShell 0.5%
    JavaScript 0.1%
    CMake 0.0%
    CSS 0.0%
     
  • 3.43, penetrator (?), 12:38, 08/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    C# не приговор, это одна из немногих вещей, которую не угробили, возможно лучшая платформа среди подобных на сегодня

    а вот Майкрософт - да, черная метка

    поэтому я с дотнетом хоть и работаю, но сижу в ожидании какого-то сюрприза

     
     
  • 4.45, Аноним (44), 05:04, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    не угробили, но очень сильно стремятся к этому =)
    сейчас основная ставка на TypeScript
     
  • 3.49, Илья (??), 09:57, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    >> Проект написан на языке C#
    >Это сразу черная метка.

    А мужики и не знали. C# это в принципе лучший язык на сегодняшний день

     
  • 2.35, OpenEcho (?), 21:26, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А ничего что сам Мелкософт говорит что Гарнет не замена Редиски?
     

  • 1.2, Аноним (-), 12:05, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > к удалённому выполнению кода на сервере из-за записи
    > данных в область за пределами выделенного буфера.

    Проблема вызвана ошибкой в src/hyperloglog.c

    Ха-ха, классик. Ничего нового.

     
     
  • 2.3, User (??), 12:17, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Не пристало самураю жаловаться на остроту его меча!
    Таков путь.
     
  • 2.4, Аноним (4), 12:24, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Над чем смеетесь? Над собой смеетесь!
     
  • 2.12, Аноним (12), 14:21, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Смеёшься что не смог переписать на Раст?
     
     
  • 3.13, Аноним (1), 14:52, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Микрософт уже переписали на C# - тоже безопасный язык.
     
     
  • 4.14, Аноним (14), 15:04, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Микрософт… и безопасный…

    шутите?

     
     
  • 5.46, Аноним (44), 05:07, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Где шутка? В том что нельзя абьюзить переполнеине стека? Или в том, что язык очень даже человеко-читаемый, в отличии от C/C++, и когда проггер с сопоставимыми навыками и знаниями кодит на нём - у него вероятность ошибки ниже на 2 порядка...
     
     
  • 6.51, Аноним (14), 12:22, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    шутка в том что .Net от мелкомягких безопасный и следовательно “китайская” копия написанная “си-тюрьма” будет неуязвимой в отличии от оригинала.

    а рассуждения про сферических прогеров с сопоставимыми навыками оставьте для курсовых и дипломных работ

     
  • 6.52, Аноним (14), 12:24, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    ниже keydon набросил про безопасные ЯП ))
     
  • 4.17, keydon (ok), 15:46, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +6 +/
    А до этого еще безопасная джава была (привет андройд). И безопасный js (привет веб 2000ых). Теперь вот безопасный раст (привет карго).
     
     
  • 5.47, Аноним (44), 05:27, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Java и JS не подходят для системно-серверной разработки от слова совсем Серверн... большой текст свёрнут, показать
     

  • 1.7, Аноним (7), 12:36, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Проблема вызвана ошибкой в реализации ... для приблизительного подсчёта

    Ха-ха-ха! Это пять!

     
     
  • 2.16, Аноним (12), 15:08, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Причина тряски?
     
     
  • 3.29, YetAnotherOnanym (ok), 20:21, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Слово знакомое увидел.
     
     
  • 4.32, Аноним (32), 21:20, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Твой ник увидел. И не может содержаться от смеха.
     

  • 1.8, Аноним (-), 12:41, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    > алгоритм HyperLogLog для приблизительного подсчёта уникальных элементов
    > приблизительного

    кидали бы про rand, чего уж там мелочится
    можно на всякий случай проверить на кубике d20, а лучше на d100!

     
     
  • 2.18, Аноним (18), 16:07, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Экспертиза опеннет на марше. Что такое HLL и для чего он нужен не знают, но мнение имеют.

    Осталось два месяца.

     

  • 1.10, Аноним (-), 13:28, 07/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Интересно, они в курсе от такой вещи как тесты?
    Ну типа написать тест, который будет скармливать разные виды строк.
    Или даже фаззинг натравить.
     
     
  • 2.11, Аноним (12), 14:20, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ты хочешь оплатить работу человека, который это все сделает? То что ты говоришь хорошо только в идеальном мире.
     
     
  • 3.19, Аноним (18), 16:34, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Проекты опенсорсные, так что можно ничего не оплачивать, а просто стать тем человеком, который всё это сделает и отправит PR.
     
     
  • 4.20, пох. (?), 17:22, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    нельзя, для этого надо не щупать одногруппниц на лекции второго курса про "тесты", а кодить уметь. (А когда, если вдруг, кодить научится - узнает печальную новость что тестами эту проблему не решить.)

     
     
  • 5.21, Аноним (1), 17:33, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Да, потому что она решается только выкидываением устаревшего рантайма ("C" не так сильно устарел, как его рантайм с опасными функциями).
     
  • 5.22, Аноним (18), 17:49, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > для этого надо не щупать одногруппниц на лекции второго курса про "тесты", а кодить уметь

    Не надо грязи, на те специальности где тесты и кодить одногруппниц не бывает. А те, 3,5 исключения, что туда по ошибке заблудились — лучшая реклама целибата, ты их сам щупать не захочешь. Так что дело за малым: сесть и накодить тестов, фаззинга, приправить статическими анализаторами и попытаться убедить «матёрых»™ «программистов»™ вмержить этот балаган в мастер^Wмэйн.

     
     
  • 6.25, пох. (?), 18:56, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Не надо грязи, на те специальности где тесты и кодить одногруппниц не бывает.

    тьфуй, мерзость какая. Сплошная запрещенная в рф экстримисская пропаганда у вас получается!

    Не, если фаззинг принесет им в клювике готовый баг - убеждать ни в чем будет не надо, просто показывай как есть, исправят, как в любом относительно живом проекте, а эти - живые. (совершенно необязательно чтобы баг был уязвимостью)

    Но обычно лапки мешают что-то обнаружить этим мастерам, знающим кунфу, джиуджитсу и еще много страшных слов.

     
  • 6.28, _ (??), 19:09, 07/07/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
     
  • 7.33, нах. (?), 21:20, 07/07/2025 Скрыто ботом-модератором     [к модератору]
  • +/
     
  • 3.24, Аноним (24), 18:35, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Акстись, аноним. Тесты делаются через ИИ за полчаса. За $20 в месяц.
     
     
  • 4.26, пох. (?), 18:57, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > Акстись, аноним. Тесты делаются через ИИ за полчаса. За $20 в месяц.

    и чего ж это ты еще не сделал?


     
     
  • 5.36, Аноним (36), 21:54, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ты меня перепутал с разработчиками Редиса. В своих проектах сделал.
     
     
  • 6.37, пох. (?), 23:21, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    да кому твои хеловроты интересны?
    То есть у тебя ноль успехов в проектах размером с редис, но ты точно знаешь что твои наляпанные с помощью ИИ тесты найдут любую ошибку в коде которого ты не понимаешь.
    "Верить в себя, не видеть препятствий..."

     
     
  • 7.39, Аноним (36), 01:41, 08/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    А вон тот человек, время которого нужно оплатить - он бы тестами нашёл любую ошибку в коде? Даже авторы этого кода её не нашли. Или им недостаточно заплатили? Ты хоть смотри на чьо отвечаешь.

    Если тесты может написать человек, а не написал он только потому, что времени у него нет, то и ИИ тебе такие тесты напишет. За полчаса. За $20 в месяц. Поэтому "заплати за время человека" - это уже в наше время бредни, про что и было сказано.

    Если же ты предлагаешь заплатить за время исследователя, который в сишной помойке уязвимости ищет - это другая задача. Но её тоже можно попробовать решить за те же $20.

     
     
  • 8.41, нах. (?), 08:12, 08/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    хахахаха Как можно сомневаться-то, вон выпускник заборостроительного техникума ... текст свёрнут, показать
     
  • 4.31, Аноним (32), 21:19, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Акстись, аноним ты в своем городе никогда не заработаешь такие деньжищи.
     
     
  • 5.34, нах. (?), 21:21, 07/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Акстись, аноним ты в своем городе никогда не заработаешь такие деньжищи.

    да я готов одолжить, только ведь хрен он и с "деньжищами" чего сможет.

     

  • 1.40, Аноним (40), 03:26, 08/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Будущее за ИИ-языками. Не просто ИИ-агент-копилот, как сейчас, а полноценный ИИ, но оформленный в виде языка. На этапе компиляции он сможет писать и прогонять все возможные тесты, сможет обеспечить безопасную работу с памятью(вставить проверки на длину массива там где это нужно, например при обработке ввода, а не везде подряд, т.е. банальные итераторы статичного массива известной длины с минимальным счетчиком), а главное будет способен избавить код от алгоритмических ошибок, например путем "мысленных экспириментов".
    Хз, ведуться ли работы в этом направлении, но вот так вижу будущее разработки.
     
     
  • 2.42, нах. (?), 08:20, 08/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Только вот "ии" не умеет в мысленные эксперименты. Даже когда он тебе описывает последовательность рассуждений - это все та же бредогенерация. Он не рассуждает, он сразу генерит готовый ответ. Иногда правильный.

    Поэтому получится у тебя примерно как в анекдоте про "как собирают корабли в бутылке? - Насыпают в бутылку палок и ниток, наливают клей и трясут. Получается разная хрень. Иногда - корабль."

    Фрипластелины, пошедшие в Газу маршрутом, набредогенеренным им АИ (поскольку сами они в географии - примерно как местные специалисты в кодинге) не дадут соврать.

     
     
  • 3.48, Аноним (44), 05:44, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    Ну как раз таки в мысленные эксперименты он уже умеет, сейчас это уже не просто ... большой текст свёрнут, показать
     
     
  • 4.53, нах. (?), 19:44, 09/07/2025 [^] [^^] [^^^] [ответить]  
  • +/
    > Разве это не оно?

    именно потому и не оно. Ты ж не проверяешь свои рассуждения косвенными способами "а не наглючил ли я их целиком?" И не кодишь на языке которого не знаешь, выдумывая на ходу синтаксис (или дергая вызовы библиотеки которую не потрудился изучить - придумывая их вместо того чтоб прочитать наконец инструкцию - "а вдруг там и правда такой окажется").
    Но зато начало автоматизировать тот самый процесс - "дура, что ты мне набредила, это не так работает же ж!"

    > А GPT скорее сгаллюцинирует понравившийся тебе ответ, если у него нет корректного ответа.

    любая модель так работает - чем сомнительней (для нее) задача, тем больше вероятность что ответ будет совершенно бредовым.

    (но, кстати, странно что дикпик, обучавшийся в том числе на предыдущих моделях, худший из всех. То ли китайский цензор помешал, то ли вот что...)

     

  • 1.50, Мистер Сишник сэр (?), 12:22, 09/07/2025 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Garnet не затрагивает - я спокоен.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2025 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру