{"id":144522,"date":"2025-10-09T11:12:23","date_gmt":"2025-10-09T09:12:23","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd"},"modified":"2025-10-09T11:12:23","modified_gmt":"2025-10-09T09:12:23","slug":"uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd","title":{"rendered":"Sicherheitsl\u00fccken in Redis und Valkey, die das Ausf\u00fchren von Code auf dem Server bei Zugriff auf die Datenbank erm\u00f6glichen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Forscher von Wiz haben eine Schwachstelle (CVE-2025-49844) in der Redis-Datenbank entdeckt, die eine Remote-Code-Ausf\u00fchrung (RCE) auf dem Server erm\u00f6glicht. Das Problem wurde mit der h\u00f6chsten Gefahrenstufe (CVSS-Score 10 von 10) eingestuft. Um die Schwachstelle auszunutzen, muss ein Angreifer jedoch in der Lage sein, Anfragen an eine Redis-Datenbank zu senden, die die Ausf\u00fchrung benutzerdefinierter Lua-Skripte zul\u00e4sst. <\/p>\n
Neben \u00f6ffentlich zug\u00e4nglichen Redis-Instanzen, die den Zugriff ohne Authentifizierung erm\u00f6glichen, erlaubt die Schwachstelle auch die Kompromittierung von Cloud-Systemen und Hosting-Plattformen, die Dienste f\u00fcr die Arbeit mit Redis unterst\u00fctzen. Laut Wiz wurden beim Scannen des Netzwerks etwa 330.000 verbundene Redis-Server identifiziert, von denen etwa 60.000 Anfragen ohne Authentifizierung akzeptieren. Das offizielle Docker-Container-Image des Redis-Projekts ist standardm\u00e4\u00dfig so konfiguriert, dass es ohne Authentifizierung zug\u00e4nglich ist. <\/p>\n
Die Schwachstelle wird durch den Zugriff auf bereits freigegebene Speicherbereiche (use-after-free) verursacht, der bei der Manipulation des Garbage Collectors aus einem speziell gestalteten Lua-Skript auftritt. Das Problem erm\u00f6glicht es, die Sandbox-Isolierung der Lua-Umgebung in Redis zu umgehen und Code im Hauptsystem mit den Rechten des Benutzers auszuf\u00fchren, unter dem die Datenbank l\u00e4uft. Bemerkenswert ist, dass der Fehler 13 Jahre lang unentdeckt blieb. Die Forscher, die das Problem identifizierten, haben einen funktionierenden Exploit demonstriert, aber die Details der Ausnutzung werden vorerst nicht ver\u00f6ffentlicht, um Zeit f\u00fcr die Installation von Updates zu geben. <\/p>\n
Die Schwachstelle zeigt sich auch im Valkey-Projekt, das einen Fork von Redis entwickelt, der in den meisten Linux-Distributionen, einschlie\u00dflich RedHat Enterprise Linux 10, bereitgestellt wird. Die Schwachstelle wurde in den Versionen Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 und 6.2.20 sowie in Valkey 8.1.4, 8.0.6 und 7.2.11 behoben. Den Zustand der neuen Paketversion oder die Vorbereitung von Patches in den Distributionen kann man auf den folgenden Seiten \u00fcberpr\u00fcfen: Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD und NetBSD. Als vor\u00fcbergehende Schutzma\u00dfnahme in der Datenbank kann die Ausf\u00fchrung von Lua-Skripten deaktiviert werden, indem die Befehle EVAL und EVALSHA \u00fcber ACL verboten werden. <\/p>\n
Dar\u00fcber hinaus k\u00f6nnen drei weitere Schwachstellen erw\u00e4hnt werden, die \u00fcber Lua-Skripte ausgenutzt werden und in den neuesten Versionen von Redis und Valkey behoben wurden. Um sich vor diesen Schwachstellen zu sch\u00fctzen, kann man \u00fcber ACL die Befehlsfamilien EVAL und FUNCTION verbieten. <\/p>\n