1. 漏洞描述

Redis是一个高级键值存储系统。由于其键可以包含字符串、哈希、列表、集合和有序集合，因此它通常被称为数据结构服务器。

安全修复：

Redis是一个内存数据库，数据持久化存储在磁盘上。在启动时，Redis会先开始监听一个Unix套接字，然后再根据用户提供的配置调整其权限。如果使用了宽松的umask（用户文件创建模式），则会在短时间内创建一个竞态条件，使另一个进程能够建立本不应被授权的连接。这个问题自Redis 2.6.0-RC1版本以来就一直存在。此问题已在Redis的7.2.2、7.0.14和6.2.14版本中得到了解决。建议用户进行升级。对于无法升级的用户，可以通过禁用Unix套接字、使用限制性umask启动Redis或将Unix套接字文件存储在受保护的目录中来解决这个问题。（CVE-2023-45145）

Redis是一个开源的内存数据库，数据持久化存储在磁盘上。经过身份验证的用户可以在支持的命令（如KEYS、SCAN、PSUBSCRIBE、FUNCTION LIST、COMMAND LIST和ACL定义）上使用精心构造的长字符串匹配模式来触发拒绝服务攻击。匹配极长的模式可能会导致无界递归，从而导致栈溢出和进程崩溃。此问题已在Redis的6.2.16、7.2.6和7.4.1版本中得到了修复。建议用户进行升级。此漏洞没有已知的解决方法。（CVE-2024-31228）

Redis是一个开源的内存数据库，数据持久化存储在磁盘上。经过身份验证的用户可以使用精心构造的Lua脚本来触发位库中的栈缓冲区溢出，这可能会导致远程代码执行。此问题存在于所有支持Lua脚本的Redis版本中。此问题已在Redis的6.2.16、7.2.6和7.4.1版本中得到了修复。建议用户进行升级。此漏洞没有已知的解决方法。（CVE-2024-31449）

2. 影响范围

3. 影响组件

4. 修复版本

5. 修复方法

方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm

方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名

6. 下载链接

KY3.4-5A:

x86_64:

     redis   

aarch64:

     redis