关于Redis Lua 子系统存在缓冲区错误漏洞和struct 库整数溢出漏洞的安全公告

Posted 2021-04-10 山西互联网应急中心

近日，有安全人员发现Redis Lua 子系统存在缓冲区错误漏洞和struct 库整数溢出漏洞 (CVE-2018-11218和CVE-2018-11219)。综合利用上述漏洞，攻击者可利用该漏洞造成远程代码执行和拒绝服务攻击。

一、漏洞情况分析

  Redis是美国Redis Labs公司赞助的一套开源的使用ANSIC 编写、支持网络、可基于内存亦可持久化的日志型、键值（Key-Value）存储数据库，并提供多种语言的 API。Lua subsystem 是其中的一个支持Lua脚本语言的子系统。

CVE-2018-11218是Redis Lua子系统缓冲区错误漏洞，可造成拒绝服务或执行任意代码。该漏洞是由于Redis Lua子系统中存在cmsgpack库存在基于栈的缓冲区溢出，该漏洞源于程序没有执行正确的内存操作。远程攻击者可通过发送请求利用该漏洞造成拒绝服务或执行任意代码。

CVE-2018-11219是Redis Lua子系统的struct 库存在整数溢出漏洞。远程攻击者可通过发送请求利用该漏洞执行任意代码或造成拒绝服务。

二、漏洞影响范围

3.2.12之前版本、4.0.10之前的4.x版本和5.0 RC2之前的5.x版本

三、处置措施

1.  根据官方提供补丁进行修复。

       2.升级Redis 至最新版本(https://redis.io/)。