CVE-2021-32675 – Redis Pré-Alocação Negação de Serviço (OOM)

Este repositório contém um exploit funcional para CVE-2021-32675, uma vulnerabilidade de negação de serviço (DoS) no Redis. A falha permite que atacantes remotos não autenticados acionem pré-alocações massivas de memória no servidor Redis ao enviar cabeçalhos de strings em massa superdimensionados sem fornecer dados de argumento, levando ao esgotamento de memória e à queda do serviço.

Descrição

CVE-2021-32675 é uma vulnerabilidade no tratamento do buffer de consulta do Redis. Ao analisar comandos recebidos no protocolo RESP (REdis Serialization Protocol), o Redis lê o comprimento declarado de um argumento de string em massa ($<length>\r\n) e imediatamente pré-aloca um buffer SDS (Simple Dynamic String) na memória para receber o payload antes de ler qualquer byte de argumento.

Como essa pré-alocação ocorre antes de receber o payload do argumento, um cliente não autenticado pode declarar o tamanho máximo permitido de string em massa (por padrão, proto-max-bulk-len é 512 MB) e manter a conexão aberta indefinidamente sem transmitir os dados reais. O Redis retém a memória pré-alocada para cada conexão ativa, criando uma taxa de amplificação de aproximadamente 32.000.000× (~16 bytes de tráfego de rede resultam em uma reserva de memória de 512 MB).

Abrir múltiplas conexões concorrentes usando essa técnica somente de cabeçalho esgota rapidamente a memória disponível do servidor, causando:

• Despejos forçados de chaves se uma política maxmemory estiver ativa.