GLSA-202210-32 : hiredis、hiredis-py：多个漏洞

high Nessus 插件 ID 166737

语言：

描述

远程主机受到 GLSA-202210-32 中所述漏洞的影响（hiredis、hiredis-py：多个漏洞）

- Hiredis 是用于 Redis 数据库的极简 C 客户端库。在受影响的版本中，如果提供恶意构建或损坏的“RESP”“多批量”协议数据，Hiredis 将会容易受到整数溢出漏洞的影响。解析“multi-bulk”（类数组）回复时，hiredis 无法检查是否可以“SIZE_MAX”表示“count * sizeof(redisReply*)”。如果不能，并且“calloc()”调用本身不执行此检查，则这会导致短分配和后续缓冲区溢出。无法更新的 hiredis 用户可将 [maxelements](https://github.com/redis/hiredis#reader-max-array-elements) 上下文选项设置为足够小的值，以保证不会发生溢出。(CVE-2021-32765)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

所有 hiredis 用户应升级到最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-libs/hiredis-1.0.1 所有 hiredis-py 用户应升级到最新版本：

# emerge --sync # emerge --ask --oneshot --verbose >=dev-python/hiredis-2.0.0