因此，该软件受到 ALAS2023-2026-2011 公告中提及的多个漏洞影响。

    Valkey 的 TLS 连接处理中存在一个释放后使用漏洞，其可造成服务器崩溃，进而可能导致远程代码执行。启用 TLS 时，服务器将保留有剩余数据等待读取的连接列表。处理该列表时，一个连接被关闭可导致 Valkey 访问属于刚刚释放的另一个连接的内存。

    当经身份验证的客户端关闭连接（例如通过 CLIENT KILL），而另一个 TLS 连接仍有缓冲数据待定时，会发生此情况。原则上可通过堆整理回收并控制释放的内存，这可能导致远程代码执行。

    此问题仅影响启用了 TLS 的部署。非 TLS 部署不受影响。
    (CVE-2026-56684)

    经认证的用户可使用特别构建的 RESTORE 命令，注入包含重复的待定条目列表 （PEL） 分配的畸形 RDB 负载。这会在流消费者群组反序列化或消费者删除期间触发释放后使用，可能导致远程代码执行。

    所有版本的 Valkey 中都存在该问题。（CVE-2026-63639）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：valkey、valkey-devel (ALAS2023-2026-2011)

high Nessus 插件 ID 332040

版本 1.1