Forscher des Unternehmens Wiz haben in der Datenbanksoftware Redis eine Schwachstelle (CVE-2025-49844) entdeckt, die es ermöglicht, eine Remote-Code-Ausführung (RCE) auf dem Server zu erreichen. Das Problem wird mit dem höchsten Gefahrenlevel (CVSS-Score von 10 aus 10) eingestuft. Um die Schwachstelle auszunutzen, muss ein Angreifer die Möglichkeit haben, Anfragen an die Redis-Datenbank zu senden, die die Ausführung von benutzerdefinierten Lua-Skripten zulässt.
Neben öffentlich zugänglichen Redis-Instanzen, die einen Zugang ohne Authentifizierung bieten, ermöglicht die Schwachstelle das Kompromittieren von Cloud-Systemen und Hosting-Plattformen, die Dienste zur Arbeit mit Redis unterstützen. Laut Wiz haben Netzwerkscans etwa 330.000 Redis-Server identifiziert, die Verbindungen akzeptieren, von denen etwa 60.000 Anfragen ohne Authentifizierung annehmen. Das offizielle Docker-Container-Image, das von dem Projekt Redis bereitgestellt wird, ist standardmäßig für den Zugriff ohne Authentifizierung konfiguriert.
Die Schwachstelle resultiert aus dem Zugriff auf bereits freigegebene Speicherbereiche (use-after-free), die während der Manipulation des Garbage Collectors durch ein speziell gestaltetes Lua-Skript auftritt. Dieses Problem ermöglicht das Umgehen der Sandbox-Isolierung der Lua-Umgebung in Redis und die Ausführung von Code im Hauptsystem mit den Rechten des Benutzers, unter dem die Datenbank-Management-System (DBMS) betrieben wird. Bemerkenswert ist, dass der Fehler 13 Jahre lang unentdeckt blieb. Die Forscher, die das Problem aufgedeckt haben, demonstrierten einen funktionierenden Exploit, obwohl die Details der Ausnutzung bisher nicht veröffentlicht wurden, um Zeit für die Installation von Updates zu geben.
Die Schwachstelle tritt ebenfalls im Projekt Valkey auf, einem Fork von Redis, der in den meisten Linux-Distributionen, einschließlich RedHat Enterprise Linux 10, bereitgestellt wird. Die Schwachstelle wurde in den Versionen Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 und 6.2.20 sowie in Valkey 8.1.4, 8.0.6 und 7.2.11 behoben. Den Status neuer Paketversionen oder der Verfügbarkeit von Patches in den Distributionen können Sie auf den folgenden Seiten überprüfen: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD und NetBSD. Als vorübergehende Schutzmaßnahme in der DBMS können Sie die Ausführung von Lua-Skripten deaktivieren, indem Sie die Befehle EVAL und EVALSHA über ACL einschränken.
Zusätzlich sind drei weitere Sicherheitsanfälligkeiten zu erwähnen, die über Lua-Skripte ausgenutzt werden und in den neuesten Versionen von Redis und Valkey behoben wurden. Um diese Schwachstellen durch ACL zu umgehen, kann man die Befehlsfamilien EVAL und FUNCTION verbieten.
- CVE-2025-46817 — Ganzzahlenüberlauf in den Lua-Bibliotheksfunktionen, der es potenziell ermöglicht, eigenen Code auf der Serverseite auszuführen. Server bei der Ausführung speziell gestalteter Lua-Skripte.
- CVE-2025-46819 — ein Fehler, der dazu führt, dass Daten aus einem Bereich außerhalb des Puffers gelesen werden, wenn ein speziell gestaltetes Lua-Skript ausgeführt wird. Diese Schwachstelle kann verwendet werden, um den Redis-Serverprozess zum Absturz zu bringen.
- CVE-2025-46818 — die Möglichkeit, Befehle im Kontext eines anderen Datenbankbenutzers auszuführen, wenn mit LUA-Objekten aus einem speziell gestalteten Lua-Skript manipuliert wird.
Quelle: opennet.ru
