CVE-2024-31449
Los comandos de la biblioteca Lua pueden provocar un desbordamiento de pila y RCE en Redis
- Publicado
- 7 oct 2024
- Actualizado
- 19 nov 2024
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 91,1 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Redis es una base de datos en memoria de código abierto que persiste en el disco. Un usuario autenticado puede usar un script Lua especialmente manipulado para provocar un desbordamiento del búfer de pila en la librería de bits, lo que puede provocar la ejecución remota de código. El problema existe en todas las versiones de Redis con scripts Lua. Este problema se ha solucionado en las versiones 6.2.16, 7.2.6 y 7.4.1 de Redis. Se recomienda a los usuarios que actualicen la versión. No existen workarounds conocidas para esta vulnerabilidad.
Fuentes
1Exploit de prueba de concepto para CVE-2024-31449, un desbordamiento de búfer de pila en el motor Lua de Redis mediante bit.tohex, que permite denegación de servicio y posible fuga de información en servidores Redis.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.