韩国互联网振兴院建议修复Redis远程代码执行漏洞

韩国互联网振兴院(KISA)于10月29日建议用户针对Redis的内存访问漏洞CVE-2026-25243进行安全更新。该漏洞存在于Redis的RESTORE命令中，攻击者在通过身份验证后发送特制数据，可能触发内存错误，并在特定条件下实现远程代码执行。

据dailysecu.com报道，此次披露共涉及5个可导致远程代码执行的漏洞，其中4个的CVSS评分为7.7，其余1个为6.1。CVE-2026-23479是解除阻塞客户端过程中的释放后使用(use-after-free)漏洞；CVE-2026-25588和CVE-2026-25589分别影响使用RedisTimeSeries和RedisBloom模块的环境，均通过RESTORE命令触发；CVE-2026-23631则与Lua脚本和副本服务器之间的同步过程有关。

上述5个漏洞均要求攻击者首先获得服务器的已认证访问权限。韩国互联网振兴院给出的修复版本为6.2.22、7.2.14、7.4.9、8.2.6、8.4.3和8.6.3。

Redis方面回应与加固建议

Redis表示，已就托管服务Redis Cloud应用了相关安全补丁。早在2026年5月5日，Redis便发布了官方安全公告，披露并修复了包括CVE-2026-23479和CVE-2026-25243在内的5个漏洞。

韩国互联网振兴院同时建议限制外部网络访问、强制使用强身份验证，并尽量减少按用户分配的命令执行权限。该机构的官方公告中未列出韩国境内实际利用这些漏洞的攻击案例。