AlmaLinux 9.2 [TuxCare] セキュリティ更新: redis / redis-devel / redis-doc (ALMALINUX9.2:CLSA-2025:1750785864)

high Nessus プラグイン ID 351988

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2025:1750785864アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- Redis は、オープンソースのディスクに保持されるメモリ内データベースです。2.6から7.4.3より前のバージョンでは、認証されていないクライアントは、サーバーがメモリを使い果たすか強制終了するまで、出力バッファを無制限に増加させる可能性があります。デフォルトでは、Redis設定は通常のクライアントの出力バッファを制限しません(client-output-buffer-limitを参照)。したがって、出力バッファは時間の経過とともに無制限に増加する可能性があります。その結果、サービスが枯渇し、メモリが使用できなくなっています。Redisサーバーでパスワード認証が有効になっているが、パスワードが指定されていない場合でも、クライアントはシステムがメモリ不足になるまでNOAUTH応答から出力バッファを増加させる可能性があります。この問題には、バージョン 7.4.3 でパッチが適用されています。実行可能な redis-server へパッチを適用せずに、問題を緩和する追加の回避策としては、アクセスをブロックして、認証されていないユーザーを Redis に接続させないようにすることです。これはさまざまな方法で実行できます。ファイアウォール、iptables、セキュリティグループなどのネットワークアクセス制御ツールを使用するか、TLSを有効にしてユーザーにクライアント側の証明書を使用して認証するよう要求します。(CVE-2025-21605)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。