1./ Tổng quan và phân tích.
CVE-2025-32023 (CVSS: 7.0) là lỗ hổng bảo mật mức độ cao ảnh hưởng đến Redis.
Redis là một cơ sở dữ liệu mã nguồn mở, hoạt động trong bộ nhớ (in-memory) có khả năng lưu trữ dữ liệu trên đĩa. Từ phiên bản 2.8 đến trước các phiên bản 8.0.3, 7.4.5, 7.2.10 và 6.2.19, người dùng đã xác thực có thể lợi dụng một chuỗi được tạo đặc biệt để gây ghi dữ liệu vượt ra ngoài vùng nhớ ngăn xếp (stack) hoặc heap trong quá trình thực hiện các thao tác hyperloglog. Điều này có thể dẫn đến thực thi mã từ xa (RCE).
Lỗi này có khả năng ảnh hưởng đến tất cả các phiên bản Redis có triển khai chức năng hyperloglog.
Tác động:
- Nguy cơ thực thi mã từ xa (RCE): Lỗ hổng cho phép kẻ tấn công thực thi mã tùy ý, có thể dẫn đến việc kiểm soát hoàn toàn hệ thống, truy cập trái phép vào dữ liệu nhạy cảm và xâm phạm hạ tầng quan trọng.
- Ảnh hưởng tính toàn vẹn dữ liệu: Với khả năng can thiệp vào các thao tác cơ sở dữ liệu, kẻ tấn công có thể chỉnh sửa, xóa hoặc chèn dữ liệu độc hại, ảnh hưởng đến chất lượng dữ liệu và tạo tiền đề cho các cuộc khai thác tiếp theo.
- Gián đoạn dịch vụ: Việc khai thác lỗ hổng có thể khiến Redis gặp lỗi hoặc bị sập, làm gián đoạn các ứng dụng phụ thuộc vào khả năng lưu trữ và truy xuất dữ liệu theo thời gian thực.
2./ Khuyến nghị và chi tiết các bản cập nhật
**Khuyến nghị giảm thiểu rủi ro
- Để bảo vệ chống lại lỗ hổng này, Redis đã phát hành các bản sửa lỗi trong phiên bản 0.3 và các phiên bản được vá khác.
| STT | Tên lỗ hổng | Phiên bản ảnh hưởng | Phiên bản cần nâng cấp |
| 1 | CVE-2025-32023 | 8.0.8 <= redis < 8.0.3 | redis >= 8.0.3 |
| 7.4-rc1 <= redis < 7.4.5 | redis >= 7.4.5 | ||
| 7.0.0 <= redis < 7.2.10 | redis >= 7.2.10 | ||
| 2.8.0 <= redis < 6.2.19 | redis >= 6.2.19 |
***Workaroud:
- Sử dụng danh sách kiểm soát truy cập (ACL) để hạn chế quyền truy cập của người dùng vào các lệnh hyperloglog, do đó ngăn chặn việc thực hiện các hoạt động có thể khai thác lỗ hổng này.
***Điều kiện khai thác lỗ hổng
- Hệ thống sử dụng phiên bản ảnh hưởng bởi lỗ hổng
- Tài khoản đã xác thực
***Tham khảo:
