Vulnerabilidad en el parámetro de configuración proto-max-bulk-len en Redis (CVE-2021-41099)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-190
Desbordamiento o ajuste de enteros
Fecha de publicación:
04/10/2021
Última modificación:
07/11/2023
Descripción
Redis es una base de datos en memoria de código abierto que persiste en el disco. Un fallo de desbordamiento de enteros en la biblioteca de cadenas subyacente puede ser usado para corromper la pila y resultar potencialmente en una denegación de servicio o una ejecución de código remota. La vulnerabilidad implica cambiar el parámetro de configuración proto-max-bulk-len predeterminado a un valor muy grande y construir cargas útiles o comandos de red especialmente diseñados. El problema se ha corregido en las versiones de Redis 6.2.6, 6.0.16 y 5.0.14. Una solución adicional para mitigar el problema sin necesidad de parchear el ejecutable de redis-server es prevenir que los usuarios modifiquen el parámetro de configuración proto-max-bulk-len. Esto puede hacerse usando ACL para restringir a usuarios no privilegiados el uso del comando CONFIG SET
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Puntuación base 2.0
6.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:redis:redis:*:*:*:*:*:*:*:* | 5.0.0 (incluyendo) | 5.0.14 (excluyendo) |
cpe:2.3:a:redis:redis:*:*:*:*:*:*:*:* | 6.0.0 (incluyendo) | 6.0.16 (excluyendo) |
cpe:2.3:a:redis:redis:*:*:*:*:*:*:*:* | 6.2.0 (incluyendo) | 6.2.6 (excluyendo) |
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:* | ||
cpe:2.3:o:fedoraproject:fedora:34:*:*:*:*:*:*:* | ||
cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:* | ||
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* | ||
cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:* | ||
cpe:2.3:a:netapp:management_services_for_element_software_and_netapp_hci:-:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:communications_operations_monitor:4.3:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:communications_operations_monitor:4.4:*:*:*:*:*:*:* | ||
cpe:2.3:a:oracle:communications_operations_monitor:5.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/redis/redis/commit/c6ad876774f3cc11e32681ea02a2eead00f2c521
- https://github.com/redis/redis/security/advisories/GHSA-j3cr-9h5g-6cph
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HTYQ5ZF37HNGTZWVNJD3VXP7I6MEEF42/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VL5KXFN3ATM7IIM7Q4O4PWTSRGZ5744Z/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WR5WKJWXD4D6S3DJCZ56V74ESLTDQRAB/
- https://security.gentoo.org/glsa/202209-17
- https://security.netapp.com/advisory/ntap-20211104-0003/
- https://www.debian.org/security/2021/dsa-5001
- https://www.oracle.com/security-alerts/cpuapr2022.html