{"id":144522,"date":"2025-10-09T11:12:23","date_gmt":"2025-10-09T09:12:23","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd"},"modified":"2025-10-09T11:12:23","modified_gmt":"2025-10-09T09:12:23","slug":"uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd","title":{"rendered":"Sicherheitsanf\u00e4lligkeiten in Redis und Valkey erm\u00f6glichen die Ausf\u00fchrung von Code auf dem Server bei Zugriff auf die Datenbank.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher des Unternehmens Wiz haben in der Datenbanksoftware Redis eine Schwachstelle (CVE-2025-49844) entdeckt, die es erm\u00f6glicht, eine Remote-Code-Ausf\u00fchrung (RCE) auf dem Server zu erreichen. Das Problem wird mit dem h\u00f6chsten Gefahrenlevel (CVSS-Score von 10 aus 10) eingestuft. Um die Schwachstelle auszunutzen, muss ein Angreifer die M\u00f6glichkeit haben, Anfragen an die Redis-Datenbank zu senden, die die Ausf\u00fchrung von benutzerdefinierten Lua-Skripten zul\u00e4sst. <\/p>\n
Neben \u00f6ffentlich zug\u00e4nglichen Redis-Instanzen, die einen Zugang ohne Authentifizierung bieten, erm\u00f6glicht die Schwachstelle das Kompromittieren von Cloud-Systemen und Hosting-Plattformen, die Dienste zur Arbeit mit Redis unterst\u00fctzen. Laut Wiz haben Netzwerkscans etwa 330.000 Redis-Server identifiziert, die Verbindungen akzeptieren, von denen etwa 60.000 Anfragen ohne Authentifizierung annehmen. Das offizielle Docker-Container-Image, das von dem Projekt Redis bereitgestellt wird, ist standardm\u00e4\u00dfig f\u00fcr den Zugriff ohne Authentifizierung konfiguriert. <\/p>\n
Die Schwachstelle resultiert aus dem Zugriff auf bereits freigegebene Speicherbereiche (use-after-free), die w\u00e4hrend der Manipulation des Garbage Collectors durch ein speziell gestaltetes Lua-Skript auftritt. Dieses Problem erm\u00f6glicht das Umgehen der Sandbox-Isolierung der Lua-Umgebung in Redis und die Ausf\u00fchrung von Code im Hauptsystem mit den Rechten des Benutzers, unter dem die Datenbank-Management-System (DBMS) betrieben wird. Bemerkenswert ist, dass der Fehler 13 Jahre lang unentdeckt blieb. Die Forscher, die das Problem aufgedeckt haben, demonstrierten einen funktionierenden Exploit, obwohl die Details der Ausnutzung bisher nicht ver\u00f6ffentlicht wurden, um Zeit f\u00fcr die Installation von Updates zu geben. <\/p>\n
Die Schwachstelle tritt ebenfalls im Projekt Valkey auf, einem Fork von Redis, der in den meisten Linux-Distributionen, einschlie\u00dflich RedHat Enterprise Linux 10, bereitgestellt wird. Die Schwachstelle wurde in den Versionen Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 und 6.2.20 sowie in Valkey 8.1.4, 8.0.6 und 7.2.11 behoben. Den Status neuer Paketversionen oder der Verf\u00fcgbarkeit von Patches in den Distributionen k\u00f6nnen Sie auf den folgenden Seiten \u00fcberpr\u00fcfen: Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD und NetBSD. Als vor\u00fcbergehende Schutzma\u00dfnahme in der DBMS k\u00f6nnen Sie die Ausf\u00fchrung von Lua-Skripten deaktivieren, indem Sie die Befehle EVAL und EVALSHA \u00fcber ACL einschr\u00e4nken. <\/p>\n
Zus\u00e4tzlich sind drei weitere Sicherheitsanf\u00e4lligkeiten zu erw\u00e4hnen, die \u00fcber Lua-Skripte ausgenutzt werden und in den neuesten Versionen von Redis und Valkey behoben wurden. Um diese Schwachstellen durch ACL zu umgehen, kann man die Befehlsfamilien EVAL und FUNCTION verbieten. <\/p>\n