概要
Redisのインメモリデータベースに、Luaスクリプト処理に起因するuse-after-free脆弱性が存在します。認証済みユーザーが特殊に構成されたLuaスクリプトを使用してガベージコレクタを操作し、use-after-freeを引き起こしてリモートコード実行（RCE）に繋げることが可能です。Luaスクリプト機能を持つ全バージョンのRedisが影響を受けます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.9 (Critical) |
| CWE | CWE-416（解放済みメモリの使用） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な権限 | 低（認証済みユーザー） |
| ユーザー操作 | 不要 |
影響を受けるソフトウェア
- Redis 8.2.1以前（Luaスクリプト機能を持つ全バージョン）
修正バージョンと回避策
- 修正バージョン: Redis 8.2.2
- 回避策: ACLを使用してEVALおよびEVALSHAコマンドへのアクセスを制限
関連リンク
データソース: NVD (NIST), GitHub Advisory Database
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。