Vulnerability in Redis and Valkey, allowing code execution on the server with database access.

Wiz'i uurimistöötajad avastasid Redis andmebaasis haavatavuse (CVE-2025-49844), mis võimaldab koodi kaugkäivitamist (RCE) serveris. Probleemile on antud kõrgeim ohuaste (CVSS skoor 10 skaalal 10), kuid haavatavuse ärakasutamiseks peab ründaja saama saata päringuid Redis andmebaasile, mis lubab kasutaja definitsiooniga Lua-skripte.

Lisaks avalikult ligipääsetavatele Redis'i eksemplaridele, mis võimaldavad autentimata juurdepääsu, võimaldab haavatavus kompromiteerida pilve süsteeme ja hostimisteenuseid, mis toetavad Redis'i töötlusteenuseid. Wiz'i andmetel tuvastas võrguskaneerimine umbes 330 000 Redis-serverit, millest umbes 60 000 aktsepteerivad päringuid ilma autentimiseta. Redis'i ametlik Docker-konteineri pilt on vaikimisi seadistatud autentimiseta juurdepääsuks.

Haavatavus tuleneb juba vabastatud mälu kasutamisest (use-after-free), mis ilmneb jäätme kogumise halduriga manipuleerimisel spetsiaalselt vormistatud Lua-skripti kaudu. Probleem võimaldab mööda minna Lua-isolatsiooni liivakasti süsteemist Redis' ja käivitada koodi peamises süsteemis kasutaja õigustes, kelle akses andmebaas töötab. Märkimisväärne on, et viga jäi märkamatuks 13 aastat. Probleemi avastanud teadlased demonstreerisid töökorda viijat, kuid ärakasutuse detailid ei ole veel avalikustatud, et anda aega uuenduste paigaldamiseks.

Haavatavus ilmneb ka Valkey projektis, mis arendab Redis'e fork'i, mida tarnitakse enamikus Linuxi distributsioonides, sealhulgas RedHat Enterprise Linux 10. Haavatavus on kõrvaldatud Redis versioonides 8.2.2, 8.0.4, 7.4.6, 7.2.11 ja 6.2.20, samuti Valkey versioonides 8.1.4, 8.0.6 ja 7.2.11. Uue versiooni paketi seisundi või paranduste ettevalmistamise kontrollimiseks distributsioonides saab külastada järgmisi lehti: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD ja NetBSD. Ajutise kaitsemeetmena andmebaasis saab keelata Lua-skripti käitamise, piirates EVAL ja EVALSHA käske ACL kaudu.

Lisaks võib mainida veel kolme haavatavust, mida kasutavad ära Lua-skripti ja mis on kõrvaldatud viimastes versioonides Redis ja Valkey. Nende haavatavuste jaoks ACL kaudu kaitsmiseks saab keelata EVAL ja FUNCTION käsu pered.

• CVE-2025-46817 — täisarvude ülevool Lua funktsioonides, mis võimaldab potentsiaalselt täita oma koodi serveripoolsel küljel serverilt spetsiaalselt kujundatud Lua skriptide käivitamisel.
• CVE-2025-46819 — viga, mis põhjustab andmete lugemist mälust väljapoole puhvrit spetsiaalselt kujundatud Lua skripti käivitamisel. See haavatavus võib viia Redis serveri protsessi kokkuvarisemiseni.
• CVE-2025-46818 — võimalus käivitada käske teise DBMS kasutaja kontekstis, manipuleerides LUA objektidega spetsiaalselt kujundatud Lua skripti abil.

Allikas: opennet.ru