分析待ちCVE-2026-25588

CVE-2026-25588: RCE in RedisTimeSeries Module

プラットフォーム

redis

コンポーネント

redis-server

修正版

1.12.14

NVDで見る

保存

CVE-2026-25588 is a Remote Code Execution (RCE) vulnerability affecting RedisTimeSeries, a time-series module for Redis. This vulnerability allows an authenticated attacker to execute arbitrary code on a server running the vulnerable module. It impacts versions of RedisTimeSeries prior to 1.12.14, and a patch is available in version 1.12.14.

影響と攻撃シナリオ

CVE-2026-25588 は、1.12.14 以前のバージョンの RedisTimeSeries モジュールに影響を与えます。認証された攻撃者が、RedisTimeSeries モジュールがロードされたサーバー上で RESTORE コマンドを実行する権限を持っている場合、悪意のあるシリアル化されたペイロードを送信することを可能にします。このペイロードは、無効なメモリアクセスを引き起こし、リモートコード実行につながる可能性があります。この脆弱性の CVSS スコアは 8.8 で、高い重大度リスクを示します。根本原因は、RESTORE コマンドを通じて処理されるシリアル化された値の不適切な検証です。このリスクを軽減するためには、バージョン 1.12.14 以降にアップグレードすることが重要です。この脆弱性の悪用が成功すると、RedisTimeSeries サーバーに保存されているデータの機密性、完全性、および可用性が損なわれる可能性があります。

悪用の状況

攻撃者は、RedisTimeSeries サーバーへの認証アクセスと RESTORE コマンドを実行する権限が必要です。これは、侵害された資格情報またはシステム内の他の脆弱性を悪用することによって達成できます。アクセスを取得したら、攻撃者は RESTORE コマンドの検証の欠陥を悪用するように設計された悪意のあるシリアル化されたペイロードを作成できます。このペイロードには、デシリアライズ時に実行される悪意のあるコードが含まれている可能性があります。悪用の成功は、RedisTimeSeries サーバーの構成と、攻撃を容易にする他の要因の存在に依存します。攻撃の複雑さは、攻撃者のスキルと利用可能なツールによって異なる場合があります。

脅威インテリジェンス

エクスプロイト状況

概念実証不明

CISA KEVNO

インターネット露出高

EPSS

0.27% (50% パーセンタイル)

CVSS ベクトル

これらのメトリクスの意味は？

Attack Vector: ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
Attack Complexity: 低 — 特別な条件不要。安定して悪用可能。
Privileges Required: 低 — 有効なユーザーアカウントがあれば十分。
User Interaction: なし — 自動かつ無音の攻撃。被害者は何もしない。
Scope: 変化なし — 影響は脆弱なコンポーネントのみ。
Confidentiality: 高 — 機密性の完全喪失。全データが読み取り可能。
Integrity: 高 — 任意のデータの書き込み・変更・削除が可能。
Availability: 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。

影響を受けるソフトウェア

コンポーネントredis-server

ベンダーRedisTimeSeries

最大バージョン1.12.14

修正版1.12.14

弱点分類 (CWE)

CWE-122

タイムライン

公開日2026-05-05
更新日2026-05-07
EPSS 更新日2026-05-13

緩和策と回避策

CVE-2026-25588 に対処するための主な解決策は、RedisTimeSeries モジュールをバージョン 1.12.14 以降にアップグレードすることです。このバージョンには、シリアル化された値を適切に検証するために必要な修正が含まれています。代替の軽減策として、アクセス制御リスト (ACL) を使用して RESTORE コマンドへのアクセスを制限することをお勧めします。これにより、攻撃者がサーバーへの認証アクセスを取得した場合でも、RESTORE コマンドの実行能力が制限されます。ACL の実装は、最小特権の原則に基づいて行う必要があり、各ユーザーまたはアプリケーションに必要な権限のみを付与します。RedisTimeSeries セキュリティポリシーをレビューおよび更新して、ベストセキュリティプラクティスが適用されていることを確認することも重要です。アップグレードと RESTORE コマンドへのアクセス制限を組み合わせることで、この脆弱性に対する堅牢な防御を提供できます。

修正方法翻訳中…

Actualice el módulo RedisTimeSeries a la versión 1.12.14 o superior para mitigar la vulnerabilidad. Restrinja el acceso al comando RESTORE con reglas ACL para limitar el impacto potencial en caso de que no pueda actualizar inmediatamente.

よくある質問

CVE-2026-25588 とは何ですか？（redis server の Remote Code Execution (RCE)）

RedisTimeSeries は、Redis 用の時間シリーズ機能を提供するモジュールです。

redis server の CVE-2026-25588 による影響を受けていますか？

バージョン 1.12.14 以降にアップグレードすると、リモートコード実行を可能にする可能性のあるセキュリティ脆弱性が修正されます。

redis server の CVE-2026-25588 を修正するにはどうすればよいですか？

ACL (アクセス制御リスト) を使用すると、RESTORE のような特定の Redis コマンドへのアクセスを制限できるため、悪用のリスクが軽減されます。

CVE-2026-25588 は積極的に悪用されていますか？

一時的な措置として、RESTORE コマンドへのアクセスを制限するために ACL を実装してください。

CVE-2026-25588 に関する redis server の公式アドバイザリはどこで確認できますか？

通常、アップグレードはパフォーマンスに大きな影響を与えません。本番環境にアップグレードを適用する前に、ステージング環境でテストすることをお勧めします。

あなたのプロジェクトは影響を受けていますか?

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャン CVEを検索

scanZone.liveBadgescanZone.eyebrow

今すぐ試す — アカウント不要

Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手動スキャンSlack/メールアラートContinuous monitoringホワイトラベルレポート

依存関係ファイルをドラッグ＆ドロップ

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...

ファイルを選択