Redis ja Valkey haavatavused, mis võimaldavad koodi käivitamist serveris, kui andmebaasi juurdepääs on olemas

Wiz ettevõtte teadlased avastasid Redis andmebaasis haavatavuse (CVE-2025-49844), mis võimaldab kauget koodi käitamise (RCE) saavutamist serveris. Probleemile on määratud kõrgeim oht (CVSS skoor 10, 10-st), samas kui haavatavuse ärakasutamiseks peab ründaja suutma saata päringuid Redis andmebaasile, mis lubab kasutaja Lua skriptide täitmist.

Lisaks avalikult kättesaadavatele Redis eksemplaridele, mis pakuvad juurdepääsu ilma autentimiseta, võimaldab haavatavus kompromitteerida pilvesüsteeme ja hostimisplatvorme, mis toetavad Redis teenustega töötamist. Wiz andmetel tuvastas võrguskannimine ligikaudu 330 000 Redis serverit, millest umbes 60 000 aktsepteerivad päringuid ilma autentimiseta. Redis projekti ametlik Docker konteineri pilt on vaikimisi seadistatud juurdepääsuks ilma autentimiseta.

Haavatavus tuleneb vabanenud mälu (use-after-free) kasutamisest, mis ilmneb jäätmete kogumise manipuleerimise käigus spetsiaalselt vormistatud Lua skriptist. Probleem võimaldab ületada Lua keskkonna karantiini Redis'is ning käivitada koodi peamises süsteemis kasutaja õigustega, kelle all andmebaasiserver töötab. On tähelepanuväärne, et viga jäi märkamatuks 13 aastat. Probleemi avastanud teadlased demonstreerisid töökeskkonda, kuid exploiteerimise üksikasjad on veel avamata, et anda aega uuenduste rakendamiseks.

Haavatavus ilmneb ka Valkey projektis, mis arendab Redis'i fork'i, mida tarnitakse enamikus Linuxi distributsioonides, sealhulgas RedHat Enterprise Linux 10. Haavatavus on kõrvaldatud Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 ja 6.2.20 versioonides, samuti Valkey 8.1.4, 8.0.6 ja 7.2.11 versioonides. Uue pakettversiooni või paranduse ettevalmistuse olekut distribuudi lehtedel saab kontrollida: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD ja NetBSD. Andmebaasi kaitse möödaviimiseks saab Lua skriptide täitmise keelata, blokeerides EVAL ja EVALSHA käsud ACL kaudu.

Lisaks võib märkida veel kolme haavatavust, mida saab kasutada Lua-skriptide kaudu ja mis on kõrvaldatud Redis ja Valkey viimastes versioonides. Nende haavatavuste obstruktsioonide kaitseks läbi ACL saab keelata käskude pered EVAL ja FUNCTION.

• CVE-2025-46817 — täisarvude ülevoolu viga Lua-teekide funktsioonides, mis võib potentsiaalselt võimaldada koodi täitmist serveri küljel, serverile kui käivitatakse spetsiaalselt kavandatud Lua-skripte.
• CVE-2025-46819 — viga, mis põhjustab andmete lugemise mälupuhvrist väljaspool, kui täidetakse spetsiaalselt kavandatud Lua-skripti. See haavatavus võib olla kasutatav Redis-serveri protsessi kokkuvarisemiseks.
• CVE-2025-46818 — käskude täitmise võimalus teise DB kasutaja kontekstis, kui manipuleeritakse LUA-objektidega spetsiaalselt kavandatud Lua-skriptist.

Allikas: opennet.ru