Redis Msetnx 命令可造成拒绝服务

漏洞描述

Redis 是一个开源的、可基于内存、分布式、可选持久性的键值对(Key-Value)存储数据库，Redis Msetnx 命令用于当给定 key 不存在时同时设置一个或多个 key-value 对。

受影响版本中当 MSETNX 命令中两次使用相同的键将触发断言，通过 Redis 身份认证的攻击者可利用此漏洞造成拒绝服务。

漏洞名称	Redis Msetnx 命令可造成拒绝服务
漏洞类型	拒绝服务
发现时间	2023-03-21
漏洞影响广度	广
MPS编号	MPS-2023-8159
CVE编号	CVE-2023-28425
CNVD编号	-

影响范围

Redis@[7.0.8, 7.0.10)

修复方案

将组件 Redis 升级至 7.0.10 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-8159

https://nvd.nist.gov/vuln/detail/CVE-2023-28425

https://github.com/redis/redis/security/advisories/GHSA-mvmm-4vq6-vw8c

https://github.com/redis/redis/commit/48e0d4788434833b47892fe9f3d91be7687f25c9

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc