CVE-2026-25589: RCE in RedisBloom Redis Module
プラットフォーム
redis
コンポーネント
redis-server
修正版
2.8.20
CVE-2026-25589 is a Remote Code Execution (RCE) vulnerability affecting the RedisBloom module for Redis, specifically versions up to 2.8.20. An authenticated attacker can exploit this flaw by crafting a malicious payload through the RESTORE command, potentially leading to complete system compromise. The vulnerability has been fixed in version 2.8.20, and a workaround involving Access Control Lists (ACLs) is available.
影響と攻撃シナリオ
CVE-2026-25589 は、2.8.20 以前のバージョンの RedisBloom に影響を与えます。認証された攻撃者が RedisBloom モジュールがロードされたサーバー上で RESTORE コマンドを実行する権限を持っている場合、細工されたシリアル化されたペイロードを送信することを可能にします。このペイロードは、無効なメモリアクセスを引き起こし、リモートコード実行につながる可能性があります。リスクは高く、特に RESTORE コマンドへのアクセスが適切に制限されていない環境ではそのリスクが高まります。この脆弱性の深刻度は CVSS スコア 8.8 で評価されており、高いリスクレベルを示しています。攻撃が成功すると、攻撃者は Redis システムの機密性、完全性、および可用性を損なう可能性があります。
悪用の状況
この脆弱性は、Redis の RESTORE コマンドを通じて悪用されます。RESTORE コマンドは、シリアル化された表現からキーを再構築するために使用されます。攻撃者は悪意のあるシリアル化されたペイロードを作成し、必要な権限を持っている場合、RedisBloom サーバーにそれを復元できます。復元プロセス中にシリアル化されたデータの適切な検証がないため、悪意のあるペイロードが無効なメモリアクセスを引き起こし、任意のコード実行につながる可能性があります。RESTORE コマンドを実行するには認証が必要ですが、攻撃者がすでに有効な資格情報を持っている場合、悪用がより容易になります。
脅威インテリジェンス
エクスプロイト状況
EPSS
0.27% (50% パーセンタイル)
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- 低 — 有効なユーザーアカウントがあれば十分。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 公開日
- 更新日
- EPSS 更新日
緩和策と回避策
推奨される解決策は、RedisBloom をバージョン 2.8.20 以降にアップグレードすることです。このバージョンには、脆弱性の修正が含まれています。即時のアップグレードが不可能な場合は、代替の軽減策として、Redis ACL (アクセス制御リスト) を使用して RESTORE コマンドへのアクセスを制限します。これにより、攻撃者が悪意のあるデータで RESTORE コマンドを実行する能力が制限されます。この脆弱性や同様の脆弱性の悪用を防ぐために、Redis セキュリティポリシーをレビューおよび強化することが重要です。RESTORE コマンドに関連する疑わしいアクティビティについて Redis ログを監視することも推奨されます。
修正方法翻訳中…
Actualice el módulo RedisBloom a la versión 2.8.20 o superior para mitigar la vulnerabilidad. Restrinja el acceso al comando RESTORE utilizando reglas de ACL para evitar que atacantes no autorizados exploten esta falla.
よくある質問
CVE-2026-25589 とは何ですか？（redis server の Remote Code Execution (RCE)）
RedisBloom は、Bloom フィルター、Count-Min Sketch、HyperLogLog などの確率的データ構造を提供する Redis のモジュールです。
redis server の CVE-2026-25589 による影響を受けていますか？
バージョン 2.8.20 以降にアップグレードすると、CVE-2026-25589 脆弱性が修正され、リモートコード実行が防止されます。
redis server の CVE-2026-25589 を修正するにはどうすればよいですか？
Redis ACL は、Redis コマンドへのアクセスを制御するメカニズムであり、どのユーザーがどのコマンドを実行できるかを制限します。
CVE-2026-25589 は積極的に悪用されていますか？
Redis クライアントで INFO module redisbloom コマンドを実行することで、RedisBloom のバージョンを確認できます。
CVE-2026-25589 に関する redis server の公式アドバイザリはどこで確認できますか？
一時的な軽減策として、Redis ACL を使用して RESTORE コマンドへのアクセスを制限します。
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...