Apache Kvrocks 修复五个严重漏洞

sec随谈
sec随谈

sec随谈

2026年6月26日 09:16
北京

在小说阅读器读本章

去阅读

摘要

安全研究人员披露了 Apache Kvrocks 的五个漏洞。其中最严重的问题被评定为 CVSS 10 分的严重等级。管理员必须升级其实例，以保护 NoSQL 数据库系统。

影响为何重大

Apache Kvrocks 是一款分布式键值型 NoSQL 数据库，作为 Redis 的大容量替代方案运行。因此，这些 Apache Kvrocks 漏洞对企业数据存储构成了严重风险。攻击者可能导致服务器进程崩溃，或执行任意代码。受影响的安装实例的确切数量目前尚不清楚。此外，厂商尚未确认这些漏洞已在野外被实际利用。目前也不存在公开的概念验证（PoC）漏洞利用代码。

攻击如何实现

这些漏洞涉及多种不同的攻击机制。首先，CVE-2026-46752 会在 Lua 的 bit.tohex() 函数中引发栈缓冲区溢出。其次，CVE-2026-41566 会在执行 APPLYBATCH 命令时造成权限处理不当。第三，CVE-2026-46751 在 Lua 沙箱内残留了不安全的 loadstring 函数，使攻击者能够运行未经验证的字节码。此外，CVE-2026-45188 会在复制同步过程中引发路径遍历。最后，CVE-2026-54226 会触发整数溢出，进而导致远程拒绝服务。

受影响的版本

这些 NoSQL 数据库漏洞影响该软件的多个版本。最早受影响的版本可追溯至 1.0.0。

• 1.0.0 至 2.15.0 版本（路径遍历）
• 2.0.4 至 2.15.0 版本（缓冲区溢出）
• 2.2.0 至 2.15.0 版本（Lua 沙箱拒绝服务）
• 2.6.0 至 2.15.0 版本（整数溢出）
• 2.8.0 至 2.15.0 版本（权限处理不当）

补丁与缓解措施

Apache 软件基金会发布了安全更新以修复这些问题。管理员必须立即升级至 2.16.0 版本。你可以在官方的 Apache Kvrocks 下载页面找到最新版本。应用此更新即可彻底解决全部五个安全缺陷。

参考链接：

https://kvrocks.apache.org/download/