Redis Blog
·
安全公告：CVE-2025-21605
内容提要
Redis社区发现并修复了安全漏洞CVE-2025-21605，该漏洞允许未经认证的客户端导致服务拒绝（DoS）。默认配置下，Redis的输出缓冲区无限增长，可能耗尽内存。建议用户限制网络访问、强制使用TLS，并及时升级到最新版本。
关键要点
-
Redis社区发现并修复了安全漏洞CVE-2025-21605，允许未经认证的客户端导致服务拒绝（DoS）。
-
该漏洞的CVSS评分为7.5（高）。
-
Redis默认配置下，输出缓冲区无限增长，可能导致内存耗尽。
-
即使启用了密码认证，未提供密码的客户端仍可导致输出缓冲区增长。
-
建议用户限制网络访问，确保只有授权用户和系统可以访问Redis数据库。
-
强制使用TLS，要求用户使用客户端证书进行身份验证。
-
Redis Cloud服务已升级修复，用户无需额外操作。
-
自管理Redis的用户需升级到最新版本以修复漏洞。
-
受影响的Redis版本包括7.22.0-28及以上、7.18.0-76及以上等。
-
感谢研究人员@polaris-alioth报告此漏洞。
延伸解读
漏洞影响与风险
CVE-2025-21605漏洞的CVSS评分为7.5，属于高风险级别。该漏洞允许未经认证的客户端通过无限增长的输出缓冲区导致服务拒绝（DoS），可能会对系统的可用性造成严重影响。用户应特别关注Redis的默认配置，确保及时采取措施以防止潜在的攻击。
安全防护建议
为了保护Redis实例，建议用户限制网络访问，仅允许授权用户和系统连接。同时，强制使用TLS以增强安全性，确保客户端通过证书进行身份验证。这些措施可以有效降低被恶意攻击的风险，保护数据安全。
版本升级的重要性
自管理Redis的用户必须及时升级到最新版本，以修复CVE-2025-21605漏洞。受影响的版本包括7.22.0-28及以上等，未及时升级可能导致系统面临安全隐患。用户应定期检查版本更新，确保使用安全的Redis环境。
延伸问答
CVE-2025-21605是什么漏洞？
CVE-2025-21605是Redis中的一个服务拒绝（DoS）漏洞，允许未经认证的客户端导致输出缓冲区无限增长，从而耗尽内存。
Redis用户如何保护自己的数据库免受此漏洞影响？
用户应限制网络访问，确保只有授权用户可以访问Redis，并强制使用TLS进行身份验证。
受影响的Redis版本有哪些？
受影响的版本包括7.22.0-28及以上、7.18.0-76及以上等。
如何修复CVE-2025-21605漏洞？
自管理Redis的用户需升级到最新版本以修复漏洞，Redis Cloud服务已自动升级修复。
CVE-2025-21605的CVSS评分是多少？
该漏洞的CVSS评分为7.5，属于高风险等级。
如果启用了密码认证，未提供密码的客户端会有什么影响？
即使启用了密码认证，未提供密码的客户端仍可导致输出缓冲区增长，最终可能耗尽内存。
