मुफ्त स्कैन करें
विश्लेषण प्रतीक्षितCVE-2026-25588

CVE-2026-25588: RCE in RedisTimeSeries Server

प्लेटफ़ॉर्म

redis

घटक

redis-server

में ठीक किया गया

1.12.14

NVD पर देखें
सहेजें

RedisTimeSeries Redis के लिए एक टाइम-सीरीज़ मॉड्यूल है। CVE-2026-25588 RedisTimeSeries सर्वर में एक रिमोट कोड एग्जीक्यूशन (RCE) भेद्यता है। इस भेद्यता के कारण, एक प्रमाणित हमलावर जो RESTORE कमांड को निष्पादित करने की अनुमति रखता है, एक दुर्भावनापूर्ण क्रमबद्ध पेलोड प्रदान करके सिस्टम पर मनमाना कोड चला सकता है। यह भेद्यता RedisTimeSeries के संस्करण 1.12.14 से पहले के सभी संस्करणों को प्रभावित करती है। संस्करण 1.12.14 में इस समस्या का समाधान किया गया है।

प्रभाव और हमले की स्थितियाँ

यह भेद्यता हमलावरों को RedisTimeSeries सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है, जिससे संभावित रूप से डेटा चोरी, सिस्टम समझौता और अन्य दुर्भावनापूर्ण गतिविधियाँ हो सकती हैं। हमलावर RESTORE कमांड का उपयोग करके एक विशेष रूप से तैयार किया गया क्रमबद्ध पेलोड भेज सकते हैं, जिससे मेमोरी एक्सेस त्रुटियां हो सकती हैं और अंततः रिमोट कोड एग्जीक्यूशन हो सकता है। चूंकि Redis अक्सर संवेदनशील डेटा संग्रहीत करता है, इसलिए इस भेद्यता का शोषण डेटा उल्लंघनों और सिस्टम नियंत्रण के नुकसान का कारण बन सकता है। यह भेद्यता Log4Shell जैसे अन्य RCE भेद्यताओं के समान है, जहां इनपुट सत्यापन की कमी के कारण हमलावर मनमाना कोड निष्पादित कर सकते हैं।

शोषण संदर्भ

CVE-2026-25588 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन इसकी उच्च CVSS स्कोर और RCE प्रकृति के कारण, इसका शोषण होने की संभावना है। इस भेद्यता के लिए सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (POC) मौजूद हैं, जो इसका शोषण करना आसान बनाते हैं। CISA ने इस भेद्यता के बारे में एक सलाहकार जारी किया है, जो इसकी गंभीरता को दर्शाता है। NVD ने 2026-05-05 को इस भेद्यता को प्रकाशित किया।

खतरा खुफिया

एक्सप्लॉइट स्थिति

प्रूफ ऑफ कॉन्सेप्टअज्ञात
CISA KEVNO
इंटरनेट एक्सपोज़रउच्च

EPSS

0.27% (50% शतमक)

CVSS वेक्टर

खतरा इंटेलिजेंस· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H8.8HIGHAttack VectorNetworkहमलावर लक्ष्य तक कैसे पहुंचता हैAttack ComplexityLowशोषण के लिए आवश्यक शर्तेंPrivileges RequiredLowहमले के लिए प्रमाणीकरण स्तरUser InteractionNoneक्या पीड़ित को कार्रवाई करनी होगीScopeUnchangedघटक से परे प्रभावConfidentialityHighसंवेदनशील डेटा उजागर होने का जोखिमIntegrityHighअनधिकृत डेटा संशोधन का जोखिमAvailabilityHighसेवा बाधा का जोखिमnextguardhq.com · CVSS v3.1 आधार स्कोर
इन मेट्रिक्स का क्या मतलब है?
Attack Vector
नेटवर्क — इंटरनेट के माध्यम से दूरस्थ रूप से शोषण योग्य। कोई भौतिक या स्थानीय पहुंच आवश्यक नहीं।
Attack Complexity
निम्न — कोई विशेष शर्त नहीं। विश्वसनीय रूप से शोषण योग्य।
Privileges Required
निम्न — कोई भी वैध उपयोगकर्ता खाता पर्याप्त है।
User Interaction
कोई नहीं — स्वचालित और मूक हमला। पीड़ित कुछ नहीं करता।
Scope
अपरिवर्तित — प्रभाव केवल कमज़ोर घटक तक सीमित।
Confidentiality
उच्च — पूर्ण गोपनीयता हानि। हमलावर सभी डेटा पढ़ सकता है।
Integrity
उच्च — हमलावर कोई भी डेटा लिख, बदल या हटा सकता है।
Availability
उच्च — पूर्ण क्रैश या संसाधन समाप्ति। पूर्ण सेवा से इनकार।

प्रभावित सॉफ्टवेयर

घटकredis-server
विक्रेताRedisTimeSeries
अधिकतम संस्करण1.12.14
में ठीक किया गया1.12.14

कमजोरी वर्गीकरण (CWE)

CWE-122

समयरेखा

  1. प्रकाशित
  2. संशोधित
  3. EPSS अद्यतन

शमन और वर्कअराउंड

RedisTimeSeries संस्करण 1.12.14 में अपग्रेड करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि अपग्रेड तत्काल संभव नहीं है, तो RESTORE कमांड तक पहुंच को ACL नियमों के साथ प्रतिबंधित करने का एक अस्थायी समाधान है। यह हमलावरों को दुर्भावनापूर्ण पेलोड भेजने से रोकेगा। इसके अतिरिक्त, Redis सर्वर को फ़ायरवॉल के पीछे रखना और केवल आवश्यक सेवाओं को उजागर करना जोखिम को कम करने में मदद कर सकता है। Redis सर्वर के लिए नवीनतम सुरक्षा पैच और अपडेट लागू करना भी महत्वपूर्ण है। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, RESTORE कमांड के माध्यम से क्रमबद्ध डेटा को पुनर्स्थापित करने का प्रयास करके सत्यापित करें।

कैसे ठीक करेंअनुवाद हो रहा है…

Actualice el módulo RedisTimeSeries a la versión 1.12.14 o superior para mitigar la vulnerabilidad. Restrinja el acceso al comando RESTORE con reglas ACL para limitar el impacto potencial en caso de que no pueda actualizar inmediatamente.

अक्सर पूछे जाने वाले सवाल

CVE-2026-25588 — RCE RedisTimeSeries सर्वर में क्या है?

CVE-2026-25588 RedisTimeSeries सर्वर में एक रिमोट कोड एग्जीक्यूशन भेद्यता है जो हमलावरों को मनमाना कोड निष्पादित करने की अनुमति देती है। यह RESTORE कमांड के माध्यम से संसाधित क्रमबद्ध मानों के अनुचित सत्यापन के कारण होता है।

क्या मैं CVE-2026-25588 में RedisTimeSeries सर्वर से प्रभावित हूँ?

यदि आप RedisTimeSeries सर्वर के संस्करण 1.12.14 से पहले के संस्करण चला रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।

मैं CVE-2026-25588 में RedisTimeSeries सर्वर को कैसे ठीक करूँ?

इस भेद्यता को ठीक करने के लिए RedisTimeSeries सर्वर को संस्करण 1.12.14 या बाद के संस्करण में अपग्रेड करें। यदि अपग्रेड तत्काल संभव नहीं है, तो RESTORE कमांड तक पहुंच को ACL नियमों के साथ प्रतिबंधित करें।

क्या CVE-2026-25588 सक्रिय रूप से शोषण किया जा रहा है?

CVE-2026-25588 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन इसकी उच्च CVSS स्कोर और सार्वजनिक POC के कारण, इसका शोषण होने की संभावना है।

मैं CVE-2026-25588 के लिए आधिकारिक Redis सलाहकार कहाँ पा सकता हूँ?

आप Redis की वेबसाइट पर CVE-2026-25588 के लिए आधिकारिक सलाहकार पा सकते हैं: [https://redis.io/docs/security/advisory/rts-2026-001/](https://redis.io/docs/security/advisory/rts-2026-001/)

क्या आपका प्रोजेक्ट प्रभावित है?

अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।

मुफ्त स्कैन करेंCVE खोजें
liveमुफ्त स्कैन

अभी आज़माएँ — no खाता

scanZone.subtitle

मैनुअल स्कैनSlack/email अलर्टContinuous monitoringscanZone.capReports

अपनी डिपेंडेंसी फ़ाइल ड्रैग और ड्रॉप करें

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...