安全公告：CVE-2025-21605

发生了什么？

作为 Redis 社区和 Redis 持续努力维护 Redis 安全性和合规性的一部分，Redis 中发现了一个安全漏洞，并在以下版本中得到了修复。

有哪些漏洞？

[CVE-2025-21605] Redis 拒绝服务漏洞，由于未认证客户端滥用输出缓冲区导致无限增长。CVSS 评分：7.5  (高危)

默认情况下，Redis 配置不限制输出缓冲区。因此，输出缓冲区会随时间无限增长。结果是服务资源耗尽，内存不可用。

当 Redis 服务器上启用密码认证但未提供密码时，客户端仍然可以通过“NOAUTH”响应导致输出缓冲区增长，直到系统内存耗尽。

如何保护您的 Redis 实例？   

此漏洞的利用需要 Redis 端点被公开暴露。

您可以采取几个步骤来保护您的 Redis 免受恶意攻击者的访问。为了最大限度地降低被利用的风险，遵循以下最佳实践非常重要

• 限制网络访问：确保只有授权用户和系统才能访问 Redis 数据库。使用防火墙和网络策略限制对可信来源的访问，并防止未经授权的连接。
• 强制启用 TLS：如果端点可公开访问且未强制仅使用 TLS，则强制启用 TLS 并要求用户使用客户端证书进行身份验证（也称为 mTLS 或相互 TLS）

有关如何安全配置、部署和使用 Redis 的更多详细信息，请访问 社区版 和 企业版软件 文档网站。

如何修复？  

我们已经升级了 Redis Cloud 服务并应用了修复，因此您无需采取额外行动。

如果您是自管理 Redis，无论是 Software 版本还是 Community 版本，请将您的 Redis 升级到最新版本。 

下面列出的 Redis OSS、CE、Stack 和 Software 版本包含此修复。完成升级后，您的环境中将修复此漏洞。  

致谢

我们感谢以下研究人员识别并通过我们公布的流程报告了这些漏洞： 该问题由 @polaris-alioth 报告