02.10.2024

BDU:2024-09249 (CVE-2024-31227) — уязвимость системы управления базами данных Redis

По данным БДУ ФСТЭК России, по состоянию на 06.11.2025.

Средний — 4.4/10 Устранена

Уязвимость системы управления базами данных Redis существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: РОСА ХРОМ (АО «НТЦ ИТ РОСА») — версии 12.4; Redis (Redis Labs) — версии от 7.0.0 до 7.2.6, от 7.0.0 до 7.4.1; ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.12
Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, abf.rosa.ru

Сведения об уязвимости

Идентификаторы	BDU:2024-09249 · CVE-2024-31227
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 4.4; CVSS 2.0 — 6.8)
Вектор CVSS 3.1	AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H нужен локальный доступ, низкая сложность, нужны права администратора, без участия пользователя, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость системы управления базами данных Redis, существующая из-за недостаточной проверки входных данных, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 11.11.2024 · Обновлена ФСТЭК: 06.11.2025 · Выявлена: 02.10.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

РОСА ХРОМ (АО «НТЦ ИТ РОСА») — 12.4 · операционная система
Redis (Redis Labs) — версии от 7.0.0 до 7.2.6, от 7.0.0 до 7.4.1 · СУБД, ПО для разработки ИИ
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.12 · операционная система

Возможные меры по устранению уязвимости

Обновление.

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

— использование средств межсетевого экранирования для ограничения удалённого доступа к СУБД;
— отключение/удаление неиспользуемых учётных записей пользователей;
— ограничение доступа к СУБД из внешних сетей (Интернет).
— использование виртуальных частных сетей для организации удаленного доступа (VPN) к СУБД.
Использование рекомендаций:
github.com/redis/redis/commit/b351d5a3210e61cc3b22ba38a72…
github.com/redis/redis/security/advisories/GHSA-38p4-26×2…
Обновление программного обеспечения redis до версии 5:7.0.15-2osnova2u1

Для операционной системы РОСА ХРОМ: abf.rosa.ru/advisories/ROSA-SA-2025-3029

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: