Redis Lança Patches para Múltiplas Vulnerabilidades, Incluindo Potencial Execução Remota de Código (CVE-2024-31449)

Redis, um dos sistemas open-source mais populares usados como banco de dados, cache e broker de mensagens, recentemente passou por importantes atualizações de segurança. Foram identificadas três vulnerabilidades críticas: CVE-2024-31449, CVE-2024-31227, e CVE-2024-31228. Essas falhas variam desde a execução remota de código (RCE) até riscos de negação de serviço (DoS), colocando em risco a integridade dos sistemas que utilizam Redis, se não forem corrigidas.

A vulnerabilidade mais grave, CVE-2024-31449, com uma pontuação de CVSS de 8.8, surge de um erro de limite na engine de scripts Lua do Redis. Esse erro permite que um atacante remoto, através de um script Lua especialmente criado, cause um estouro de buffer baseado na pilha, possibilitando a execução de código malicioso no servidor afetado. Esta vulnerabilidade pode comprometer completamente o sistema.

Além disso, CVE-2024-31227 (CVSS 4.5) explora seletores ACL malformados, enquanto CVE-2024-31228 (CVSS 6.5) explora padrões de correspondência não limitados, permitindo que invasores causem falhas no servidor Redis, interrompendo aplicações e serviços críticos.

Redis corrigiu essas vulnerabilidades nas versões 7.4.1, 7.2.6 e 6.2.16, e é altamente recomendável que todos os usuários atualizem suas instalações para essas versões ou superiores para mitigar os riscos de exploração.

Dado o amplo uso do Redis em organizações, é esperado que hackers tentem explorar essas falhas rapidamente, especialmente a RCE, o que torna a aplicação dos patches uma prioridade urgente para proteger os sistemas contra possíveis ataques.