- 上游 2.8.21

- 修复 Lua 沙盒逃逸和任意代码执行 (RHBZ #1228331)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2015:1676 公告中提及的漏洞的影响。

    Redis 是一个高级键值存储。它通常被称为数据结构服务器，因为密钥可以包含字符串、哈希、列表、集以及排序集。

    在 redis 中发现一个缺陷，可允许能够使用 EVAL 命令运行 Lua 代码且经过身份验证的用户突破 Lua 沙盒并在系统上执行任意代码。(CVE-2015-4335)

    建议所有 redis 用户升级到这些更新后的程序包，其中修正了此问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Redis 版本受到远程代码执行漏洞的影响。攻击者可利用此问题，通过 eval 命令执行任意 Lua bytecote。

- 上游 2.8.21 (RHBZ #1228245)

- 修复 Lua 沙盒逃逸和任意代码执行 (RHBZ #1228331)

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

已发现 redis（一款持久性键值数据库）可通过 EVAL 命令执行不安全的 Lua 字节码。这可能允许远程攻击者破坏 Lua 沙盒和执行任意代码。

Ben Murphy 报告：

可能会突破 Redis 中的 Lua 沙盒，并执行任意代码。

这不会对处于受信任 Redis 安全模式下的用户产生威胁，在此模式下只有受信任的用户可以连接到数据库。
但是在实际部署中，可能存在可由不受信任的用户访问的数据库。易受影响的主要部署是开发人员计算机，其中的 Redis 服务器可通过 SSRF 攻击和云托管进行访问。

远程主机受到 GLSA-201702-16 中所述漏洞的影响（Redis：多个漏洞）

    在 Redis 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    能够连接至 Redis 实例的远程攻击者可发出恶意的命令，可能导致以进程权限执行任意代码，或造成拒绝服务情况。
  变通方案：

    目前无任何已知的变通方案。

redis 已更新到版本 2.8.22 (boo#934048)，修复了一个 LUA 沙盒更新。(CVE-2015-4335) 有关详细信息，请访问 http://benmmurphy.github.io/blog/2015/06/04/redis-eval-lua-sandbox-escape/

有关其他变更，请参阅以下程序包中的内容：
/usr/share/doc/packages/redis/00-RELEASENOTES

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
84859	Fedora 22：redis-2.8.21-1.fc22 (2015-9498)	Nessus	Fedora Local Security Checks	2015/7/20	2021/1/11	critical
210220	RHEL 7：redis 安全公告（中危）(RHSA-2015:1676)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/4	critical
109323	Pivotal Software Redis < 2.8.21 / 3.x < 3.0.2 RCE	Nessus	Misc.	2018/4/24	2024/10/24	critical
84858	Fedora 21：redis-2.8.21-1.fc21 (2015-9488)	Nessus	Fedora Local Security Checks	2015/7/20	2021/1/11	critical
84024	Debian DSA-3279-1：redis - 安全更新	Nessus	Debian Local Security Checks	2015/6/9	2021/1/11	critical
84043	FreeBSD：redis - EVAL Lua 沙盒逃逸 (838fa84a-0e25-11e5-90e4-d050996490d0)	Nessus	FreeBSD Local Security Checks	2015/6/9	2021/1/6	critical
97259	GLSA-201702-16：Redis：多个漏洞	Nessus	Gentoo Local Security Checks	2017/2/21	2021/1/11	critical
86284	openSUSE 安全更新：redis (openSUSE-2015-634)	Nessus	SuSE Local Security Checks	2015/10/6	2021/1/19	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical