CVE-2023-22458: falha de média gravidade em redis
Integer overflow in multiple Redis commands can lead to denial-of-service
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.
O Redis pode falhar quando um usuário autenticado envia comandos `HRANDFIELD` ou `ZRANDMEMBER` com argumentos especialmente construídos, causando a parada do banco de dados. Afeta as versões 6.2 e 7.0, então administradores devem atualizar para versões corrigidas.
Um overflow de inteiro nos comandos `HRANDFIELD` e `ZRANDMEMBER` permite que usuários autenticados disparem uma falha de asserção que causa o crash do processo Redis. A vulnerabilidade requer autenticação válida e afeta Redis 6.2.0–6.2.8 e 7.0.0–7.0.7, resultando em negação de serviço via exceção não tratada.
No mesmo produto, das mais perigosas para as menos.