- CNNVD編號：未知
- 危害等級： 高危
- CVE編號：CVE-2021-32761
- 漏洞類型： 遠(yuǎn)程代碼執(zhí)行
- 威脅類型：未知
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時(shí)間：2021-07-22
- 更新時(shí)間：2021-07-23
漏洞簡介
1、組件介紹
Redis是一個(gè)開源的使用ANSI C語言編寫、支持網(wǎng)絡(luò)、可基于內(nèi)存亦可持久化的日志型、Key-Value數(shù)據(jù)庫，并提供多種語言的API。
2、漏洞描述
2021年7月21日，深信服安全團(tuán)隊(duì)監(jiān)測到Redis官方發(fā)布了一則漏洞安全通告，通告披露了Redis組件存在遠(yuǎn)程代碼執(zhí)行漏洞，漏洞編號：CVE-2021-32761。漏洞威脅等級：高危。
該漏洞是由于BITFIELD命令與proto-max-bulk-len配置參數(shù)可能造成整形溢出，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行遠(yuǎn)程代碼攻擊，最終可獲取服務(wù)器最高權(quán)限。
漏洞公示
參考網(wǎng)站
受影響實(shí)體
可能受漏洞影響的資產(chǎn)廣泛分布于世界各地，主要集中在中國、美國、德國等國家，國內(nèi)主要集中在廣東、江蘇、北京、上海等地。
目前受影響的Redis版本：
2.2 ≤ Redis < 5.0.13
2.2 ≤ Redis < 6.0.15
2.2 ≤ Redis < 6.2.5
補(bǔ)丁
1、如何檢測組件系統(tǒng)版本
通過redis啟動命令，執(zhí)行redis-server可以獲取Redis版本號
當(dāng)redis已經(jīng)運(yùn)行執(zhí)行redis-cli，之后在執(zhí)行info命令，即可查看版本。
2、官方修復(fù)建議
當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級到最新版本。鏈接如下：
https://github.com/redis/redis
3、臨時(shí)修復(fù)建議
該臨時(shí)修復(fù)建議存在一定風(fēng)險(xiǎn)，建議用戶可根據(jù)業(yè)務(wù)系統(tǒng)特性審慎選擇采用臨時(shí)修復(fù)方案：
可通過啟用Redis身份認(rèn)證，禁止未授權(quán)用戶調(diào)用BITFIELD命令以及CONFIG SET指令
