A Malformed Lua script can crash Redis(CVE-2022-24736)

概要

A Malformed Lua script can crash Redis

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Redis is an in-memory database that persists on disk. Prior to versions 6.2.7 and 7.0.0, an attacker attempting to load a specially crafted Lua script can cause NULL pointer dereference which will result with a crash of the redis-server process. The problem is fixed in Redis versions 7.0.0 and 6.2.7. An additional workaround to mitigate this problem without patching the redis-server executable, if Lua scripting is not being used, is to block access to SCRIPT LOAD and EVAL commands using ACL rules.

出典: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

影響パッケージ

Bitnami keydb

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"6.2.7"}]}]

Bitnami redis

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"6.2.7"}]}]

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

Alpine Linux ALPINE-CVE-2022-24736 redis 修正版: 6.2.7-r0
Debian DEBIAN-CVE-2022-24736 redis
Ubuntu UBUNTU-CVE-2022-24736 redis

概要

原文の説明

影響パッケージ

ディストリビューション別の修正状況

参照URL