したがって、ALAS2023-2026-3091 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    valkey-io valkey 9.1.0にセキュリティの欠陥が発見されました。影響を受ける要素は、コンポーネント Blocked-on-keys Subsystem の src/blocked.c ファイルの handleClientsBlockedOnKey 関数です。この操作により、メモリ解放後使用 (Use After Free) が発生します。攻撃はリモートから実行される可能性があります。この攻撃には、複雑度レベルが高いことが関連しています。悪用は難しいと説明されています。このエクスプロイトは一般に公開されており、攻撃に使用される可能性があります。パッチは b2fb0e13f5b4c8c2fb63dcfc2c37a067a0d6d20b として識別されます。この問題を解決するには、パッチを適用することが推奨されています。
    (CVE-2026-82631)

    valkey-io valkey 9.1.0で脆弱性が決定されました。影響を受けるのは、コンポーネントModule Timer Subsystemのsrc/module.cファイルのmoduleTimerHandler関数です。この操作により、二重解放が発生します。攻撃がリモートで開始される可能性があります。このエクスプロイトは一般に公開されており、悪用される可能性があります。パッチ名:
    b349fe2821e3998534b1454c1b64a478daf8c6b7です。この問題を修正するには、パッチをデプロイすることをお勧めします。
    (CVE-2026-82677)

    最大 9.5.4/9.1.0 までの valkey-io valkey に脆弱性が検出されました。この脆弱性の影響を受けるのは、スロット移行コンポーネントのsrc/cluster_migrateslots.cファイルのcreateSlotImportJob関数です。引数job_nameの操作により、領域外読み取りが発生します。攻撃はリモートで実行できます。
    このエクスプロイトは現在公開されており、悪用される可能性があります。この問題は、バージョン 9.0.5 および 9.1.1 にアップグレードしてください。パッチはf4dc3ca09eb650c2fe14060090a41c524eca803fとして識別されます。影響を受けるコンポーネントをアップグレードすることをお勧めします。(CVE-2026-85522)

    valkey-io valkey で、最大 9.0.5/9.1.1 までの脆弱性が特定されています。これはsrc/kvstore.cファイルのkvstoreGetHashtable関数に影響します。didx 引数のこの操作により、領域外読み取りが発生します。リモートから攻撃を仕掛けることが可能です。この攻撃は複雑度が高いと見なされています。悪用が難しいことが示されています。この悪用は一般に公開され、攻撃に利用される可能性があります。パッチ名:4691888e7fab3df128f0bde5750c9fde2ae552fa。この問題を修正するには、パッチをデプロイすることをお勧めします。悪用するには、クラスターモードに加えて、起動時に攻撃者が制御するdump.rdb(データディレクトリ書き込みアクセス、レプリケーションフィード、または保存された細工されたRDB)が必要です。ネットワークの事前認証ではなく、起動時の攻撃者の位置のDoSです。メモリの安全性の観点から修正する価値があるとして、問題レポートが閉じられました...しかし、セキュリティ開示の基準を満たしていないと思います。(CVE-2026-86227)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : valkey、valkey-devel (ALAS2023-2026-3091)

medium Nessus プラグイン ID 347941

バージョン 1.2