原文链接: https://mp.weixin.qq.com/s?__biz=MzU5NDgxODU1MQ==&mid=2247503563&idx=1&sn=09169a0ba263b129a115d0fa708b0d02

【已复现】Redis hyperloglog 远程代码执行漏洞(CVE-2025-32023)安全风险通告

奇安信 CERT 2025-07-08 03:38

● 
点击↑蓝字关注我们，获取更多安全风险通告

漏洞概述
漏洞名称	Redis hyperloglog 远程代码执行漏洞
漏洞编号	QVD-2025-26361，CVE-2025-32023
公开时间	2025-07-07	影响量级	百万级
奇安信评级	高危	CVSS 3.1分数	7.0
威胁类型	代码执行	利用可能性	高
POC状态	已公开	在野利用状态	未发现
EXP状态	未公开	技术细节状态	未公开
危害描述：经过身份验证的本地用户可以使用特制的字符串来触发 hyperloglog 操作中的堆栈/堆越界写入，从而可能导致远程代码执行。

01

漏洞详情

>
>
>
>

影响组件

Redis 是一个开源的、基于内存的数据库，它支持多种数据结构，如字符串、哈希表、列表、集合等。Redis 具有高性能、低延迟的特点，广泛应用于缓存、消息队列、会话存储等场景。

>
>
>
>

漏洞描述

近日，奇安信CERT监测到官方修复
Redis hyperloglog 远程代码执行漏洞(CVE-2025-32023)，该漏洞产生的原因是 Redis 在处理 hyperloglog 操作时，未对输入字符串进行严格验证，导致经过身份验证的本地用户可以使用特制的字符串来触发 hyperloglog 操作中的堆栈/堆越界写入，从而可能导致远程代码执行。
目前该漏洞POC已在互联网上公开。
鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。

---

---

02

影响范围

>
>
>
>

影响版本

8.0.* <= Redis < 8.0.3

7.4.* <= Redis < 7.4.5

7.2.* <= Redis < 7.2.10

2.8 <= Redis < 6.2.19

>
>
>
>

其他受影响组件

无

03

复现情况

目前，奇安信威胁情报中心安全研究员已成功复现
Redis hyperloglog 远程代码执行漏洞(CVE-2025-32023)****
，截图如下：

04

处置建议

>
>
>
>

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

Redis 8.0.* >= 8.0.3

Redis 7.4.* >= 7.4.5

Redis 7.2.* >= 7.2.10

Redis >= 6.2.19

官方补丁下载地址：

https://github.com/redis/redis/releases

修复缓解措施：

使用ACL限制用户执行 hyperloglog 操作。

05

参考资料

[1]https://github.com/redis/redis/security/advisories/GHSA-rp2m-q4j6-gr43

[2]
https://github.com/redis/redis/commit/50188747cbfe43528d2719399a2a3c9599169445

06

时间线

2025年7月8日，奇安信 CERT发布安全风险通告。

08

漏洞情报服务

奇安信ALPH
A
威胁分析平台已支持漏洞情报订阅服务：

奇安信 CERT

致力于
第一时间为企业级用户提供权威
漏洞情报和有效
解决方案。

点击↓阅读原文
，到ALPHA威胁分析平台
订阅更多漏洞信息。