Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Predis は、柔軟で機能が充実した PHP 用の Redis および Valkey クライアントです。バージョン3.0.0-RC1からバージョン 3.3.0まででは、アグリゲートクラスタとレプリケーション接続のパイプライン処理では、AbstractAggregateConnection::write()にあるすでにシリアル化されたRESPバッファが、RESP長のプレフィックスに従わずにexplode(\r\n)で分割され、再解析されます。したがって、CRLFシーケンスを含む攻撃者が制御するキーまたは値は、Command::d eserializeCommand()によって追加のコマンドとして解釈される可能性があります。クラスター接続で、ClusterStrategy::getFakeKey()はリテラルの偽のキー値キーを使用して挿入されたキーレスコマンドをルーティングできるため、シャード全体のキャッシュ削除、標的のデータの変更、データの読み取り、ノードの中断などの操作を許可します。レプリケーション接続で、無効な形式の再解析により、捕捉されない例外がスローされ、影響を受けるリクエストが繰り返し終了することがあります。pipeline() のみがこの脆弱なパスに到達します。transaction() および MULTI は影響を受けません。この問題はバージョン 3.3.0 で修正されています。(CVE-2026-84372)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-84372

critical Nessus プラグイン ID 342562

バージョン 1.2