CVE-2026-25588: RCE in RedisTimeSeries Module
Platform
redis
Component
redis-server
Opgelost in
1.12.14
CVE-2026-25588 is a Remote Code Execution (RCE) vulnerability affecting RedisTimeSeries, a time-series module for Redis. This vulnerability allows an authenticated attacker to execute arbitrary code on a server running the vulnerable module. It impacts versions of RedisTimeSeries prior to 1.12.14, and a patch is available in version 1.12.14.
Impact en Aanvalsscenarios
CVE-2026-25588 treft het RedisTimeSeries-module in versies vóór 1.12.14. Het stelt een geauthenticeerde aanvaller met toestemming om de RESTORE-commando uit te voeren op een server met het RedisTimeSeries-module geladen, in staat om een gemanipuleerde geserialiseerde payload aan te leveren. Deze payload kan leiden tot ongeldige geheugentoegang, wat mogelijk resulteert in remote code execution. De CVSS-score voor deze kwetsbaarheid is 8.8, wat een hoog risico aangeeft. De hoofdoorzaak is de onvoldoende validatie van geserialiseerde waarden die via de RESTORE-commando worden verwerkt. Het upgraden naar versie 1.12.14 of hoger is cruciaal om dit risico te beperken. Een succesvolle exploitatie van deze kwetsbaarheid kan de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens op de RedisTimeSeries-server in gevaar brengen.
Uitbuitingscontext
Een aanvaller heeft geauthenticeerde toegang tot de RedisTimeSeries-server en toestemming nodig om de RESTORE-commando uit te voeren. Dit kan worden bereikt via gecompromitteerde inloggegevens of door andere kwetsbaarheden in het systeem te exploiteren. Zodra toegang is verkregen, kan de aanvaller een gemanipuleerde geserialiseerde payload creëren die is ontworpen om de validatie-tekortkoming in de RESTORE-commando te exploiteren. Deze payload kan kwaadaardige code bevatten die wordt uitgevoerd bij deserialisatie. Het succes van de exploitatie hangt af van de configuratie van de RedisTimeSeries-server en de aanwezigheid van andere factoren die de aanval vergemakkelijken. De complexiteit van de aanval kan variëren, afhankelijk van de vaardigheden van de aanvaller en de beschikbare tools.
Dreigingsinformatie
Exploit Status
EPSS
0.27% (50% percentiel)
CVSS-vector
Wat betekenen deze metrics?
- Attack Vector
- Netwerk — op afstand uitbuitbaar via internet. Geen fysieke of lokale toegang vereist.
- Attack Complexity
- Laag — geen speciale voorwaarden vereist. Betrouwbaar uitbuitbaar.
- Privileges Required
- Laag — elk geldig gebruikersaccount is voldoende.
- User Interaction
- Geen — automatische en stille aanval. Slachtoffer doet niets.
- Scope
- Ongewijzigd — impact beperkt tot het kwetsbare component.
- Confidentiality
- Hoog — volledig verlies van vertrouwelijkheid. Aanvaller kan alle gegevens lezen.
- Integrity
- Hoog — aanvaller kan alle gegevens schrijven, aanpassen of verwijderen.
- Availability
- Hoog — volledige crash of uitputting van resources. Totale denial of service.
Getroffen Software
Zwakheidsclassificatie (CWE)
Tijdlijn
- Gepubliceerd
- Gewijzigd
- EPSS bijgewerkt
Mitigatie en Workarounds
De primaire oplossing voor het aanpakken van CVE-2026-25588 is het upgraden van het RedisTimeSeries-module naar versie 1.12.14 of hoger. Deze versie bevat de benodigde fix om geserialiseerde waarden correct te valideren. Als alternatieve mitigatiemaatregel wordt het beperken van de toegang tot de RESTORE-commando met behulp van Toegangscontrolelijsten (ACL's) aanbevolen. Dit beperkt het vermogen van de aanvaller om de RESTORE-commando uit te voeren, zelfs als ze geauthenticeerde toegang tot de server verkrijgen. De implementatie van ACL's moet gebaseerd zijn op het principe van minimale privileges, waarbij alleen de noodzakelijke rechten aan elke gebruiker of applicatie worden verleend. Het is ook belangrijk om de RedisTimeSeries-beveiligingsbeleid te beoordelen en bij te werken om ervoor te zorgen dat best practices voor beveiliging worden toegepast. Het combineren van een upgrade en het beperken van de toegang tot de RESTORE-commando biedt een robuuste verdediging tegen deze kwetsbaarheid.
Hoe te verhelpenwordt vertaald…
Actualice el módulo RedisTimeSeries a la versión 1.12.14 o superior para mitigar la vulnerabilidad. Restrinja el acceso al comando RESTORE con reglas ACL para limitar el impacto potencial en caso de que no pueda actualizar inmediatamente.
Veelgestelde vragen
Wat is CVE-2026-25588 — Remote Code Execution (RCE) in redis server?
RedisTimeSeries is een module voor Redis die functionaliteit voor tijdreeksen biedt.
Ben ik getroffen door CVE-2026-25588 in redis server?
Upgraden naar versie 1.12.14 of hoger fixeert een beveiligingskwetsbaarheid die remote code execution mogelijk zou kunnen maken.
Hoe los ik CVE-2026-25588 in redis server op?
ACL's (Toegangscontrolelijsten) stellen u in staat om de toegang tot specifieke Redis-commando's te beperken, zoals RESTORE, waardoor het risico op exploitatie wordt verminderd.
Wordt CVE-2026-25588 actief misbruikt?
Als tijdelijke maatregel, implementeer ACL's om de toegang tot de RESTORE-commando te beperken.
Waar vind ik het officiële redis server-beveiligingsadvies voor CVE-2026-25588?
De upgrade heeft over het algemeen geen significante impact op de prestaties. Het wordt aanbevolen om tests uit te voeren in een staging-omgeving voordat de upgrade in productie wordt toegepast.
Is jouw project getroffen?
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Probeer het nu — geen account
Upload een manifest (composer.lock, package-lock.json, WordPress pluginlijst…) of plak uw componentenlijst. U ontvangt direct een kwetsbaarheidsrapport. Een bestand uploaden is slechts het begin: met een account krijgt u continue monitoring, Slack/e-mail alerts, multi-project en white-label rapporten.
Sleep uw afhankelijkheidsbestand hierheen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...