{"id":144522,"date":"2025-10-09T11:12:23","date_gmt":"2025-10-09T09:12:23","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd"},"modified":"2025-10-09T11:12:23","modified_gmt":"2025-10-09T09:12:23","slug":"uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimosti-v-redis-i-valkey-pozvolyayushhie-vypolnit-kod-na-servere-pri-nalichii-dostupa-k-bd","title":{"rendered":"Vulnerabilidades en Redis y Valkey que permiten la ejecuci\u00f3n de c\u00f3digo en el servidor con acceso a la base de datos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Investigadores de la empresa Wiz han identificado una vulnerabilidad en la base de datos Redis (CVE-2025-49844) que permite la ejecuci\u00f3n remota de c\u00f3digo (RCE) en el servidor. Esta vulnerabilidad tiene el nivel m\u00e1s alto de riesgo (CVSS score de 10 de 10); adem\u00e1s, para explotarla, un atacante debe tener la capacidad de enviar solicitudes a la base de datos Redis que permite la ejecuci\u00f3n de scripts Lua de usuario. <\/p>\n
Adem\u00e1s de las instancias p\u00fablicas de Redis que permiten el acceso sin autenticaci\u00f3n, la vulnerabilidad permite comprometer sistemas en la nube y plataformas de hosting que soportan servicios para trabajar con Redis. Seg\u00fan datos de Wiz, el escaneo de la red ha mostrado alrededor de 330,000 servidores Redis que aceptan conexiones, de los cuales cerca de 60,000 aceptan solicitudes sin autenticaci\u00f3n. La imagen oficial del contenedor Docker proporcionada por el proyecto Redis est\u00e1 configurada para permitir el acceso sin autenticaci\u00f3n por defecto. <\/p>\n
La vulnerabilidad se debe a un acceso a memoria ya liberada (use-after-free), que se manifiesta al manipular el recolector de basura desde un script Lua espec\u00edficamente dise\u00f1ado. Este problema permite eludir la aislamiento sandbox de entornos Lua en Redis y ejecutar c\u00f3digo en el sistema principal con los permisos del usuario bajo el cual se ejecuta la base de datos. Notablemente, el error pas\u00f3 desapercibido durante 13 a\u00f1os. Los investigadores que descubrieron el problema demostraron un exploit funcional, pero los detalles de la explotaci\u00f3n a\u00fan no se divulgan para dar tiempo a las actualizaciones. <\/p>\n
La vulnerabilidad tambi\u00e9n se manifiesta en el proyecto Valkey, que desarrolla un fork de Redis, que se incluye en la mayor\u00eda de las distribuciones de Linux, incluidas RedHat Enterprise Linux 10. La vulnerabilidad ha sido corregida en las versiones de Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 y 6.2.20, as\u00ed como en Valkey 8.1.4, 8.0.6 y 7.2.11. Se puede verificar el estado de una nueva versi\u00f3n del paquete o la preparaci\u00f3n de un parche en las distribuciones en las siguientes p\u00e1ginas: Debian, Ubuntu, Fedora, SUSE\/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD y NetBSD. Como medida alternativa de protecci\u00f3n en la base de datos, se puede desactivar la ejecuci\u00f3n de scripts Lua, prohibiendo los comandos EVAL y EVALSHA a trav\u00e9s de ACL. <\/p>\n
Adicionalmente, se pueden se\u00f1alar otras tres vulnerabilidades que se explotan a trav\u00e9s de scripts Lua y que han sido corregidas en las \u00faltimas versiones de Redis y Valkey. Para una protecci\u00f3n alternativa contra estas vulnerabilidades, se puede prohibir familias de comandos EVAL y FUNCTION a trav\u00e9s de ACL. <\/p>\n