Azure Linux 3.0 セキュリティ更新valkeyCVE-2025-21605

high Nessus プラグイン ID 295459

Language:

概要

リモートの Azure Linux ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモート Azure Linux 3.0 ホストにインストールされている valkey のバージョンは、テスト済みバージョンより前です。したがって、CVE-2025-21605 のアドバイザリに記載されている脆弱性の影響を受けます。

- Redis は、オープンソースのディスクに保持されるメモリ内データベースです。 2.6 から始まり 7.4.3より前のバージョンでは、認証されていないクライアントが、サーバーがメモリ不足になるか、サーバーが強制終了されるまで、出力バッファを無制限に増加させる可能性があります。デフォルトでは、Redis設定は通常のクライアントの出力バッファを制限しませんclient-output-buffer-limitを参照してください。したがって、出力バッファは時間とともに無制限に増大する可能性があります。結果として、サービスは枯渇し、メモリは使用できなくなります。Redisサーバーでパスワード認証が有効になっているがパスワードが指定されていない場合、クライアントはシステムがメモリを使い果たすまで、NOAUTH応答から出力バッファを増大させる可能性があります。この問題には、バージョン 7.4.3 でパッチが適用されています。実行可能な redis-server へパッチを適用せずに、問題を緩和する追加の回避策としては、アクセスをブロックして、認証されていないユーザーを Redis に接続させないようにすることです。これはさまざまな方法で実行できます。ファイアウォール、iptables、セキュリティグループなどのネットワークアクセスコントロールツールを使用するか、TLS を有効にして、クライアント側の証明書を使用してユーザーを認証する必要があります。CVE-2025-21605

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。