Forscher von Wiz haben eine Schwachstelle (CVE-2025-49844) in der Redis-Datenbank entdeckt, die eine Remote-Code-Ausführung (RCE) auf dem Server ermöglicht. Das Problem wurde mit der höchsten Gefahrenstufe (CVSS-Score 10 von 10) eingestuft. Um die Schwachstelle auszunutzen, muss ein Angreifer jedoch in der Lage sein, Anfragen an eine Redis-Datenbank zu senden, die die Ausführung benutzerdefinierter Lua-Skripte zulässt.
Neben öffentlich zugänglichen Redis-Instanzen, die den Zugriff ohne Authentifizierung ermöglichen, erlaubt die Schwachstelle auch die Kompromittierung von Cloud-Systemen und Hosting-Plattformen, die Dienste für die Arbeit mit Redis unterstützen. Laut Wiz wurden beim Scannen des Netzwerks etwa 330.000 verbundene Redis-Server identifiziert, von denen etwa 60.000 Anfragen ohne Authentifizierung akzeptieren. Das offizielle Docker-Container-Image des Redis-Projekts ist standardmäßig so konfiguriert, dass es ohne Authentifizierung zugänglich ist.
Die Schwachstelle wird durch den Zugriff auf bereits freigegebene Speicherbereiche (use-after-free) verursacht, der bei der Manipulation des Garbage Collectors aus einem speziell gestalteten Lua-Skript auftritt. Das Problem ermöglicht es, die Sandbox-Isolierung der Lua-Umgebung in Redis zu umgehen und Code im Hauptsystem mit den Rechten des Benutzers auszuführen, unter dem die Datenbank läuft. Bemerkenswert ist, dass der Fehler 13 Jahre lang unentdeckt blieb. Die Forscher, die das Problem identifizierten, haben einen funktionierenden Exploit demonstriert, aber die Details der Ausnutzung werden vorerst nicht veröffentlicht, um Zeit für die Installation von Updates zu geben.
Die Schwachstelle zeigt sich auch im Valkey-Projekt, das einen Fork von Redis entwickelt, der in den meisten Linux-Distributionen, einschließlich RedHat Enterprise Linux 10, bereitgestellt wird. Die Schwachstelle wurde in den Versionen Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 und 6.2.20 sowie in Valkey 8.1.4, 8.0.6 und 7.2.11 behoben. Den Zustand der neuen Paketversion oder die Vorbereitung von Patches in den Distributionen kann man auf den folgenden Seiten überprüfen: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD und NetBSD. Als vorübergehende Schutzmaßnahme in der Datenbank kann die Ausführung von Lua-Skripten deaktiviert werden, indem die Befehle EVAL und EVALSHA über ACL verboten werden.
Darüber hinaus können drei weitere Schwachstellen erwähnt werden, die über Lua-Skripte ausgenutzt werden und in den neuesten Versionen von Redis und Valkey behoben wurden. Um sich vor diesen Schwachstellen zu schützen, kann man über ACL die Befehlsfamilien EVAL und FUNCTION verbieten.
- CVE-2025-46817 — Ganzzahlüberlauf in Bibliotheks-Lua-Funktionen, der potenziell die Ausführung von eigenem Code auf der Server-Seite ermöglicht. Server bei der Ausführung speziell gestalteter Lua-Skripte.
- CVE-2025-46819 — Fehler, der dazu führt, dass Daten aus dem Bereich außerhalb des Puffers gelesen werden, wenn ein speziell gestaltetes Lua-Skript ausgeführt wird. Diese Schwachstelle kann genutzt werden, um den Serverprozess Redis zum Absturz zu bringen.
- CVE-2025-46818 — Möglichkeit der Ausführung von Befehlen im Kontext eines anderen Datenbankbenutzers durch Manipulation von LUA-Objekten aus einem speziell gestalteten Lua-Skript.
Quelle: opennet.ru
