CVE-2024-31449
Lua-Bibliotheksbefehle können zu Stack-Überlauf und RCE in Redis führen.
- Veröffentlicht
- 07.10.2024
- Aktualisiert
- 19.11.2024
- CNA zuweisen
- GitHub_M
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 91,4 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Redis ist eine quelloffene In-Memory-Datenbank, die auf der Festplatte persistiert. Ein authentifizierter Benutzer kann mithilfe eines speziell konstruierten Lua-Skripts einen Stack-Pufferüberlauf in der Bit-Bibliothek auslösen, der möglicherweise zur Remote-Code-Ausführung führen kann. Das Problem besteht in allen Redis-Versionen mit Lua-Scripting. Dieses Problem wurde in den Redis-Versionen 6.2.16, 7.2.6 und 7.4.1 behoben. Benutzern wird empfohlen, ein Upgrade durchzuführen. Es gibt keine bekannten Workarounds für diese Schwachstelle.
Quellen
Proof-of-Concept-Exploit für CVE-2024-31449, ein Stack-Pufferüberlauf in der Redis Lua-Engine über bit.tohex, der Denial-of-Service und potenzielles Informationsleck auf Redis-Servern ermöglicht.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.