Forskere fra Wiz har opdaget en sårbarhed i Redis-databasen (CVE-2025-49844), der muliggør fjernudførelse af kode (RCE) på serveren. Problemet har fået det højeste advarselsniveau (CVSS score 10 ud af 10), og for at udnytte sårbarheden skal en angriber have mulighed for at sende forespørgsler til Redis-databasen, som tillader udførelse af brugerdefinerede Lua-scripts.
Udover offentligt tilgængelige Redis-forekomster, der giver adgang uden godkendelse, gør sårbarheden det muligt at kompromittere cloud-systemer og hostingplatforme, der understøtter tjenester til arbejde med Redis. Ifølge Wiz's data har netværksscanning afsløret omkring 330.000 Redis-servere, der accepterer forbindelser, hvoraf cirka 60.000 accepterer anmodninger uden godkendelse. Den officielle Docker-container, der leveres af Redis-projektet, er som standard konfigureret til adgang uden godkendelse.
Sårbarheden skyldes adgang til allerede frigivet hukommelse (use-after-free), som opstår under manipulation af garbage collector fra et specielt udformet Lua-script. Problemet muliggør omgåelse af sandbox-isoleringen af Lua-miljøet i Redis og eksekvering af kode i det overordnede system med de samme rettigheder, som den bruger, under hvilken databasen kører. Bemærk, at fejlen var uopdaget i 13 år. Forskerne, der fandt problemet, demonstrerede en fungerende exploit, men detaljer om udnyttelsen offentliggøres ikke endnu for at give tid til at installere opdateringer.
Sårbarheden optræder også i Valkey-projektet, der udvikler en fork af Redis og findes i de fleste Linux-distributioner, herunder RedHat Enterprise Linux 10. Sårbarheden er blevet rettet i versionerne Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 og 6.2.20, samt i Valkey 8.1.4, 8.0.6 og 7.2.11. Status for den nye version af pakken eller forberedelse af rettelsen i distributioner kan kontrolleres på følgende sider: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD og NetBSD. Som en midlertidig beskyttelsesmetode kan eksekvering af Lua-scripts deaktiveres i databasen ved at forbyde EVAL og EVALSHA-kommandoerne via ACL.
Derudover kan tre ekstra sårbarheder nævnes, der udnyttes gennem Lua-scripts og er blevet rettet i de seneste versioner af Redis og Valkey. For at beskytte mod disse sårbarheder kan man gennem ACL forbyde kommando-familierne EVAL og FUNCTION.
- CVE-2025-46817 — heltalsoverløb i Lua-biblioteksfunktioner, som potentielt kan tillade udførelse af ondsindet kode på klientsiden. server ved kørsel af specielt formaterede Lua-scripts.
- CVE-2025-46819 — fejl, der fører til læsning af data udenfor bufferområdet ved udførelse af et specielt formateret Lua-script. Sårbarheden kan bruges til at få Redis-serverprocessen til at crashe.
- CVE-2025-46818 — mulighed for at udføre kommandoer i konteksten af en anden bruger af databasesystemet ved at manipulere LUA-objekter fra et specielt formateret Lua-script.
Kilde: opennet.ru
