Výzkumníci ze společnosti Wiz odhalili zranitelnost v databázovém systému Redis (CVE-2025-49844), která umožňuje vzdálené provedení kódu (RCE) na serveru. Zranitelnosti byla přidělena nejvyšší úroveň nebezpečí (CVSS skóre 10 z 10), přičemž k jejímu zneužití musí útočník mít možnost odesílat žádosti k databázovému systému Redis, který umožňuje provádění uživatelských Lua skriptů.
Kromě veřejně dostupných instancí Redis, které poskytují přístup bez ověření, zranitelnost umožňuje kompromitovat cloudové systémy a hostingové platformy, které podporují služby pro práci s Redis. Podle údajů společnosti Wiz skenování sítě odhalilo přibližně 330 tisíc Redis serverů, které přijímají připojení, z nichž přibližně 60 tisíc přijímá žádosti bez ověřování. Oficiální obraz Docker kontejneru poskytovaný projektem Redis je ve výchozím nastavení nastaven pro přístup bez ověření.
Zranitelnost je způsobena přístupem k již uvolněné paměti (use-after-free), který se projevuje při manipulaci s garbage collectorem z speciálně vytvořeného Lua skriptu. Problém umožňuje obejít sandboxovou izolaci Lua prostředí v Redis a provést kód v hlavním systému s právy uživatele, pod kterým běží databázový systém. Zajímavé je, že chyba zůstala nevšimnuta po dobu 13 let. Výzkumníci, kteří problém odhalili, demonstrovali funkční exploit, ale detaily zneužití zatím nejsou zveřejněny, aby se umožnilo uživatelům nainstalovat aktualizace.
Zranitelnost se také projevuje v projektu Valkey, který vyvíjí fork Redis dodávaný ve většině distribucí Linuxu, včetně RedHat Enterprise Linux 10. Zranitelnost byla odstraněna ve vydáních Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 a 6.2.20, stejně jako ve Valkey 8.1.4, 8.0.6 a 7.2.11. Stav nové verze balíčku nebo přípravy opravy v distribucích lze zkontrolovat na následujících stránkách: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD a NetBSD. Jako obranou alternativu lze v databázovém systému zakázat provádění Lua skriptů tím, že se přes ACL zakážou příkazy EVAL a EVALSHA.
Dále lze zmínit další tři zranitelnosti, které jsou zneužívány prostřednictvím Lua skriptů a byly odstraněny v posledních verzích Redis a Valkey. Pro obranou alternativu proti těmto zranitelnostem lze přes ACL zakázat rodiny příkazů EVAL a FUNCTION.
- CVE-2025-46817 — celočíselný přetečení v knihovních funkcích Lua, potenciálně umožňující spuštění vlastního kódu na straně klienta. serveru při spuštění speciálně vytvořených Lua skriptů.
- CVE-2025-46819 — chyba vedoucí ke čtení dat z oblasti mimo vyrovnávací paměť při vykonávání speciálně vytvořeného Lua skriptu. Zranitelnost může být zneužita pro pád serverového procesu Redis.
- CVE-2025-46818 — možnost vykonávání příkazů v kontextu jiného uživatele DBMS při manipulaci s LUA objekty v rámci speciálně vytvořeného Lua skriptu.
Zdroj: opennet.ru
