漏洞等级 High

CVE编号 CVE-2024-46981

漏洞详情

近日Redis修复了一个代码执行漏洞（CVE-2024-46981）， 该漏洞的CVSS评分为7.0，Redis的Lua脚本引擎在处理内存管理时存在漏洞,经过身份验证的用户可以使用特制的Lua脚本来操纵内存回收机制,通过Redis提供的EVAL和EVALSHA命令运行该恶意Lua脚本,从而可能利用该漏洞在Redis服务器上执行任意代码。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

影响范围

Redis < 7.4.2

Redis < 7.2.7

Redis < 6.2.17

注:如果Redis配置未限制Lua脚本执行（例如通过 ACL 配置限制 EVAL 和 EVALSHA 命令），则使用Lua脚本的Redis会受到该漏洞的影响。

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外。

1、redis 官方已发布安全通告并发布了修复版本，请尽快下载安全版本修复漏洞：

Redis >= 7.4.2

Redis >= 7.2.7

Redis >= 6.2.17

2、修复缓解措施：

通过阻止用户执行Lua脚本,从而避免恶意 Lua 脚本的执行,可以通过 ACL（访问控制列表）来限制或禁止EVAL和EVALSHA命令的使用。

参考链接

https://redis.io/blog/security-advisory-cve-2024-46981-cve-2024-51737-cve-2024-51480-cve-2024-55656/

https://github.com/redis/redis/security/advisories/GHSA-39h2-x6c4-6w4c