UCloud-202507-002:Redis hyperloglog 远程代码执行漏洞安全告警

漏洞详情

近日，Redis 官方已发布关于 HyperLogLog 模块远程代码执行漏洞（CVE-2025-32023）的安全修复更新。该漏洞的成因在于 Redis 在处理 HyperLogLog相关操作时，未对用户输入的字符串进行充分校验，允许经过身份验证的本地用户构造恶意字符串，触发堆栈或堆内存的越界写入，进而可能实现远程代码执行。

目前，该漏洞的技术细节与相关利用方式（PoC）已在互联网公开，存在被恶意利用的高风险，且影响范围广泛，建议相关用户高度重视。

影响范围

8.0.* <= Redis < 8.0.3

7.4.* <= Redis < 7.4.5

7.2.* <= Redis < 7.2.10

2.8 <= Redis < 6.2.19

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外

1.目前 Redis 官方已发布安全更新版本，建议所有受影响用户尽快升级至以下版本或更高版本，以修复该漏洞：

Redis 8.0 系列：更新至 8.0.3 或以上

Redis 7.4 系列：更新至 7.4.5 或以上

Redis 7.2 系列：更新至 7.2.10 或以上

Redis 6.2 系列及以下版本：更新至 6.2.19 或以上

官方补丁及版本发布地址：

https://github.com/redis/redis/releases

2.在无法立即升级的情况下，可临时采取以下缓解措施以降低风险：

使用 ACL（访问控制列表）限制低权限用户执行 HyperLogLog 相关命令（如 PFADD、PFMERGE、PFCOUNT 等），避免可疑用户触发漏洞利用。

参考链接

https://github.com/redis/redis/security/advisories/GHSA-rp2m-q4j6-gr43