CVE-2021-32675 – Déni de service par pré-allocation Redis (OOM)

Ce dépôt contient un exploit fonctionnel pour CVE-2021-32675, une vulnérabilité de déni de service (DoS) dans Redis. La faille permet à des attaquants distants non authentifiés de déclencher des pré-allocations massives de mémoire sur le serveur Redis en envoyant des en-têtes de chaînes volumineuses sans fournir les données d'argument, entraînant l'épuisement de la mémoire et le crash du service.

Description

CVE-2021-32675 est une vulnérabilité dans la gestion du tampon de requêtes de Redis. Lors de l'analyse des commandes entrantes dans le protocole RESP (REdis Serialization Protocol), Redis lit la longueur déclarée d'un argument de chaîne volumineuse ($<longueur>\r\n) et pré-alloue immédiatement un tampon SDS (Simple Dynamic String) en mémoire pour recevoir la charge utile avant de lire les octets de l'argument.

Comme cette pré-allocation se produit avant la réception de la charge utile de l'argument, un client non authentifié peut déclarer la taille maximale autorisée de chaîne volumineuse (par défaut, proto-max-bulk-len est de 512 Mo) et maintenir la connexion ouverte indéfiniment sans transmettre les données réelles. Redis conserve la mémoire pré-allouée pour chaque connexion active, créant un ratio d'amplification d'environ 32 000 000× (~16 octets de trafic réseau entraînent une réservation mémoire de 512 Mo).

L'ouverture de plusieurs connexions simultanées utilisant cette technique d'en-tête uniquement épuise rapidement la mémoire disponible du serveur, provoquant :

• Des évictions forcées de clés si une politique maxmemory est active.