redis:5モジュールの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Redisは高度なkey-valueストアです。キーには文字列、ハッシュ、リスト、セット、ソートされたセットを含めることができるため、多くの場合、データ構造サーバーと呼ばれます。パフォーマンスのために、Redisはメモリ内データセットで動作します。Redisを保持するには、データセットをときどきディスクにダンプするか、各コマンドをログに追加します。セキュリティ修正プログラム：* redis：悪意のあるクライアントによってトリガーされるHyperLogLogのヒープバッファオーバーフロー（CVE-2019-10192）* redis：悪意のあるクライアントによってトリガーされるHyperLogLogのスタックバッファオーバーフロー（CVE-2019-10193）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

出典：Red Hat Security Advisory 2019:2002：redis:5モジュールの更新プログラムが、Red Hat Enterprise Linux 8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Redisは高度なkey-valueストアです。キーには文字列、ハッシュ、リスト、セット、ソートされたセットを含めることができるため、多くの場合、データ構造サーバーと呼ばれます。パフォーマンスのために、Redisはメモリ内データセットで動作します。Redisを保持するには、データセットをときどきディスクにダンプするか、各コマンドをログに追加します。セキュリティ修正プログラム：* redis：悪意のあるクライアントによってトリガーされるHyperLogLogのヒープバッファオーバーフロー（CVE-2019-10192）* redis：悪意のあるクライアントによってトリガーされるHyperLogLogのスタックバッファオーバーフロー（CVE-2019-10193）影響、CVSSスコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートのRocky Linux 8ホストには、RLSA-2019:2002アドバイザリに記載されているとおり、複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Redis ハイパーログデータ構造のバージョン 3.x より前の 3.2.13、 4.x より前の 4.0.14 、 5.x より前の 5.0.4にヒープバッファオーバーフローの脆弱性が見つかりました。SETRANGEコマンドを使用してハイパーログを注意深く破損させることで、攻撃者がRedisのヒープ割り当てバッファの末尾を越えて最大3バイトまで書き込むように、密なHLLエンコーディングのRedis解釈を誘導する可能性があります。CVE-2019-10192

  - Redis ハイパーログデータ構造のバージョン 3.x より前の 3.2.13、 4.x より前の 4.0.14 、 5.x より前の 5.0.4にスタックバッファオーバーフローの脆弱性が見つかりました。SETRANGEコマンドを使用してハイパーログを破損させることで、攻撃者がスタック割り当てバッファの末尾を越えて最大12バイトの制御されたインクリメントをRedisに実行させる可能性があります。CVE-2019-10193

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2019:1819 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - redis: 悪質なクライアントによってトリガーされる HyperLogLog のヒープバッファオーバーフロー (CVE-2019-10192)

  - redis: 悪質なクライアントによってトリガーされる HyperLogLog のスタックバッファオーバーフロー (CVE-2019-10193)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

恒久的なkey-valueデータベースであるRedisのHyperLogLogの実装に、複数の脆弱性が見つかりました。このため、サービス拒否や任意コードの実行が発生する可能性があります。

Redisがhyperloglogデータ構造を不適切に処理することがわかりました。攻撃者がこの問題を悪用してRedisをクラッシュさせ、サービス拒否を引き起こしたり任意のコードを実行したりする可能性があります。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201908-04（Redis：複数の脆弱性）で説明されている脆弱性による影響を受けます。複数の脆弱性がRedisで発見されています。詳細については、以下に記載されているCVE識別番号を参照してください。影響：詳細については、記載されているCVE識別番号を参照してください。回避策：現時点では、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
127644	RHEL 8：rredis:5（RHSA-2019:2002）	Nessus	Red Hat Local Security Checks	2019/8/12	2024/11/6	high
127977	Oracle Linux 8：redis:5（ELSA-2019-2002）	Nessus	Oracle Linux Local Security Checks	2019/8/20	2024/11/1	high
184549	Rocky Linux 8redis:5RLSA-2019:2002	Nessus	Rocky Linux Local Security Checks	2023/11/6	2023/12/22	high
194146	RHEL 7 : rh-redis5-redis (RHSA-2019:1819)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	high
126655	DebianDSA-4480-1: redis - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/7/15	2024/5/10	high
126773	Ubuntu 16.04 LTS / 18.04 LTS : Redisの脆弱性 (USN-4061-1)	Nessus	Ubuntu Local Security Checks	2019/7/17	2024/8/27	high
127562	GLSA-201908-04：Redis：複数の脆弱性	Nessus	Gentoo Local Security Checks	2019/8/12	2024/5/7	critical

検出

プラグインの検索

high

high

high

high

high

high

critical