BDU:2021-04969 (CVE-2021-32628)

Уязвимость структуры данных ziplist системы управления базами данных (СУБД) Redis, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2021-10-13

Описание

Уязвимость структуры данных ziplist системы управления базами данных (СУБД) Redis связана с возможностью изменения значения параметра конфигурации, Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Затрагиваемое ПО и версии

ОС ОН «Стрелец» (1.0)Redis (до 6.2.6)Redis (до 6.0.16)Redis (до 5.0.14)ОСОН ОСнова Оnyx (до 2.4)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций:
Для Redis:
https://nvd.nist.gov/vuln/detail/CVE-2021-32628
Запретить пользователям изменять параметры конфигурации hash-max-ziplist-entries, hash-max-ziplist-value, zset-max-ziplist-entries или zset-max-ziplist-value при помощи ACL (ограничить использование команды CONFIG SET).

Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#02112021regulyarnoe-obnovlenie

Для ОСОН Основа:
Обновление программного обеспечения redis до версии 5:5.0.14-1+deb10u1

Для ОС ОН «Стрелец»:
Обновление программного обеспечения redis до версии 5:6.0.16-1+deb11u2strelets

Оценка CVSS

Балл	7.1 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2021-32628 https://github.com/redis/redis/commit/f6a40570fa63d5afdd596c78083d754081d80ae3 https://github.com/redis/redis/security/advisories/GHSA-vw22-qm3h-49pr https://strelets.net/patchi-i-obnovleniya-bezopasnosti#02112021regulyarnoe-obnovlenie https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.4/https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023

Проверьте безопасность своего сайта и почты → Полная проверка домена