高危 Redis Lua Script 溢出漏洞（CVE-2024-31449）

CVE编号

CVE-2024-31449

利用情况

暂无

补丁情况

官方补丁

披露时间

2024-10-07
漏洞描述
Redis是一个开源的基于内存亦可持久化的Key-Value数据库。2024年10月，官方披露 CVE-2024-31449 Redis Lua Script 溢出漏洞，经过身份验证的用户可以使用特制的Lua脚本来触发堆栈缓冲区溢出，并可能会导致远程代码执行。官方已发布更新修复，建议升级至最新版本。

安全版本
6.2.16
7.2.6
7.4.1

解决建议
1、Redis 官方已发布更新修复，建议升级至最新版本。
2、利用安全组设置Redis仅对可信地址开放。
3、应用漏洞暂只支持获取 Redis 自身版本，若您确定已为各发行版本安全修复版本，可予忽略。
参考链接
https://access.redhat.com/security/cve/CVE-2024-31449
https://github.com/redis/redis/commit/1f7c148be2cbacf7d50aa461c58b871e87cc5ed9
https://github.com/redis/redis/security/advisories/GHSA-whxg-wx83-85p5
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
系统 alpine_3.17 redis * Up to
(excluding)
7.0.15-r1
运行在以下环境
系统 alpine_3.17 redis * Up to
(excluding)
7.0.15-r1
运行在以下环境
系统 alpine_3.18 redis * Up to
(excluding)
7.0.15-r1
运行在以下环境
系统 alpine_3.18 redis * Up to
(excluding)
7.0.15-r1
运行在以下环境
系统 alpine_3.19 redis * Up to
(excluding)
7.2.4-r1
运行在以下环境
系统 alpine_3.19 redis * Up to
(excluding)
7.2.4-r1
运行在以下环境
系统 alpine_3.20 redis * Up to
(excluding)
7.3.1-r0
运行在以下环境
系统 alpine_3.20 redis * Up to
(excluding)
7.2.7-r0
运行在以下环境
系统 amazon_2 redis * Up to
(excluding)
6.2.14-2.amzn2
运行在以下环境
系统 amazon_2 redis * Up to
(excluding)
6.2.14-2.amzn2
运行在以下环境
系统 amazon_2023 redis6 * Up to
(excluding)
6.2.14-2.amzn2023.0.1
运行在以下环境
系统 amazon_2023 redis6 * Up to
(excluding)
6.2.14-2.amzn2023.0.1
运行在以下环境
系统 fedora_39 redis * Up to
(excluding)
7.2.6-1.fc39
运行在以下环境
系统 fedora_39 redis * Up to
(excluding)
7.2.6-1.fc39
运行在以下环境
系统 fedora_40 redis * Up to
(excluding)
7.2.6-1.fc40
运行在以下环境
系统 fedora_40 redis * Up to
(excluding)
7.2.6-1.fc40
运行在以下环境
系统 fedora_41 valkey * Up to
(excluding)
8.0.1-1.fc41
运行在以下环境
系统 fedora_41 valkey * Up to
(excluding)
8.0.1-1.fc41
运行在以下环境
系统 fedora_EPEL_9 valkey * Up to
(excluding)
8.0.1-1.el9
运行在以下环境
系统 fedora_EPEL_9 valkey * Up to
(excluding)
8.0.1-1.el9
运行在以下环境
系统 opensuse_Leap_15.5 redis * Up to
(excluding)
6.2.6-150400.3.28.1
运行在以下环境
系统 opensuse_Leap_15.6 redis * Up to
(excluding)
7.2.4-150600.3.3.1
阿里云评分
7.0
  • 攻击路径
    远程
  • 攻击复杂度
    复杂
  • 权限要求
    普通权限
  • 影响范围
    全局影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    数据泄露
  • 数据完整性
    传输被破坏
  • 服务器危害
    服务器失陷
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-121 栈缓冲区溢出
CWE-20 输入验证不恰当
阿里云安全产品覆盖情况