Уязвимости в Redis и Valkey, позволяващи изпълнение на код на сървъра при наличие на достъп до БД

Изследователи от компания Wiz откриха уязвимост в СУБД Redis (CVE-2025-49844), която позволява отдалечено изпълнение на код (RCE) на сървера. Проблемът е оценен с най-високото ниво на опасност (CVSS оценка 10 от 10), като за експлоатацията на уязвимостта атакуващият трябва да има възможност да изпраща заявки към СУБД Redis, която позволява изпълнение на потребителски Lua скриптове.

Освен публично достъпните инстанции на Redis, осигуряващи достъп без автентикация, уязвимостта позволява компрометиране на облачни системи и хостинг платформи, които поддържат услуги за работа с Redis. Според данни на компания Wiz, сканирането на мрежата е открило около 330 хиляди Redis сървъра, които приемат връзки, от които около 60 хиляди обработват заявки без автентикация. Официалният образ на Docker контейнера, предоставен от проекта Redis, е настроен по подразбиране за достъп без автентикация.

Уязвимостта е причинена от достъп до вече освободена памет (use-after-free), който се проявява при манипулация на събирача на боклук от специално оформен Lua скрипт. Проблемът позволява заобикаляне на sandbox-изолацията на Lua средата в Redis и изпълнение на код в основната система с правата на потребителя, под който работи СУБД. Интересното е, че грешката е останала незабелязана в продължение на 13 години. Изследователите, открили проблема, демонстрираха работещ експлойт, но подробности за експлоатацията все още не се разкриват, за да се предостави време за инсталиране на актуализации.

Уязвимостта се проявява и в проекта Valkey, който развива форк на Redis и се предоставя в повечето дистрибуции на Linux, включително RedHat Enterprise Linux 10. Уязвимостта е коригирана в версиите на Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 и 6.2.20, както и в Valkey 8.1.4, 8.0.6 и 7.2.11. Състоянието на новата версия на пакета или подготовката на поправка в дистрибуциите може да се провери на следните страници: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD и NetBSD. Като решение за защита в СУБД може да се изключи изпълнението на Lua скриптове, забранявайки командите EVAL и EVALSHA чрез ACL.

Допълнително може да се отбележат още три уязвимости, експлоатирани чрез Lua скриптове и коригирани в последните версии на Redis и Valkey. Заобиколна защита от тези уязвимости чрез ACL може да забрани семействата команди EVAL и FUNCTION.

• CVE-2025-46817 — цяло число преливане в библиотечните Lua функции, което потенциално позволява изпълнението на модулен код на страната. сървър при стартиране на специално оформени Lua скриптове.
• CVE-2025-46819 — грешка, която води до прочитане на данни извън границите на буфера при изпълнението на специално оформен Lua скрипт. Уязвимостта може да се използва за аварийно приключване на процеса на сървъра Redis.
• CVE-2025-46818 — възможност за изпълнение на команди в контекста на друг потребител на СУБД при манипулиране на LUA обекти от специално оформен Lua скрипт.

Източник: opennet.ru