BDU:2022-02940 (CVE-2022-24736)

Уязвимость системы управления базами данных Redis, связанная с ошибками разыменования указателей, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2022-05-17

Описание

Уязвимость системы управления базами данных Redis связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально сформированного скрипта Lua

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Red Hat Enterprise Linux (8)Debian GNU/Linux (10)Red Hat Software CollectionsFedora (34)Debian GNU/Linux (11)Fedora (35)Fedora (36)Redis (до 6.2.7)Redis (до 7.0.0)

Способ устранения

Использование рекомендаций:
Для Redis:
https://github.com/redis/redis/releases/tag/6.2.7
https://github.com/redis/redis/releases/tag/7.0.0

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2022-24736

Для Fedora:
https://bodhi.fedoraproject.org/updates/FEDORA-2022-a0a4c7eb31
https://bodhi.fedoraproject.org/updates/FEDORA-2022-6ed1ce2838
https://bodhi.fedoraproject.org/updates/FEDORA-2022-44373f6778

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-24736

Организационные меры:
- использование списка управления доступом (Access Control List (ACL)) для блокировки доступа к командам SCRIPT LOAD и EVAL

Для Astra Linux 1.6 «Смоленск»:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20230525SE16MD

Оценка CVSS

Балл	1.7 — средняя опасность

Источники и патчи

https://github.com/redis/redis/pull/10651 https://github.com/redis/redis/releases/tag/6.2.7 https://github.com/redis/redis/releases/tag/7.0.0 https://github.com/redis/redis/security/advisories/GHSA-3qpw-7686-5984 https://nvd.nist.gov/vuln/detail/CVE-2022-24736 https://access.redhat.com/security/cve/cve-2022-24736 https://security-tracker.debian.org/tracker/CVE-2022-24736 https://bodhi.fedoraproject.org/updates/FEDORA-2022-a0a4c7eb31

Проверьте безопасность своего сайта и почты → Полная проверка домена