2025年7月、インメモリ型データベース「Redis」において、新たなサービス拒否（DoS）脆弱性（CVE-2025-48367）が報告されました。
この問題は、認証済みユーザーがRedisのネットワークプロトコルを悪用することで、意図せぬ動作を引き起こし、サービスの可用性に影響を与える可能性があるものです。
脆弱性の概要と影響
この脆弱性は、Redisが採用する「multi-bulk」プロトコルを認証済みのクライアントが悪用することで、Redisサーバに過負荷を与え、サービスが応答しなくなる可能性がある点に起因します。
脆弱性の報告はセキュリティ研究者 Gabriele Digregorio 氏により行われ、Redisの開発チームによって確認されました。
「この問題は、Redisの認証機構を通過した正規ユーザーによって生じるものです。そのため、セキュリティモデルには違反しないものの、DoS攻撃のような形で可用性に影響を及ぼす恐れがあります。」
としています。
修正状況と対応方針
Redisは本件について、機能性とパフォーマンスへの影響を懸念し、コード上の修正は行わないという判断を下しました。
その代わり、セキュリティアドバイザリの公開によってユーザーへの注意喚起を行っています。ただし、以下の安定版リリースには、一般的な安定性向上や緩和策が含まれており、これらの適用が推奨されています。
-
Redis 8.0.3
-
Redis 7.4.5
-
Redis 7.2.10
-
Redis 6.2.19
Redis運用者への推奨対策
今回の脆弱性は認証済みユーザーによる内部からの悪用が前提となっており、Redisの運用環境におけるアクセス制御の見直しが重要です。Redisプロジェクトは以下の対策を推奨しています：
-
強力な認証の導入（パスワードや鍵ベースの認証）
-
Redisインスタンスを外部ネットワークに公開しない
-
企業のIDプロバイダ（IdP）との連携によるアクセス制御の強化
-
Redisセキュリティベストプラクティスの再確認と適用
関連記事
Redisに危険性の高いクリティカルな脆弱性(CVE-2025-49844)-現実的に悪用される可能性
インメモリデータベースのRedisで2つの脆弱性(CVE-2024-51741,CVE-2024-46981)
RedisのXACKDEL実装に深刻な脆弱性(CVE-2025-62507)
Next.jsにキャッシュポイズニング脆弱性(CVE-2025-49826)
SonicWall SMA 100シリーズに深刻な脆弱性-認証済みリモートコード実行の恐れ(CVE-2025-40599)
OpenSSHの重大な脆弱性がDoS 攻撃や中間者攻撃に悪用される可能性(CVE-2025-26465,CVE-2025-26466)
Apache Syncope で危険度の高い脆弱性(CVE-2025-65998)
BadSuccessor：Windows Server 2025の新機能dMSAを悪用したActive Directory支配の脅威
MaLion 端末エージェント（Windows）で複数の深刻な脆弱性(CVE-2025-59485 ,CVE-2025-62691, CVE-2025-64693)
