Des vulnérabilités dans Redis et Valkey permettent d'exécuter du code sur le serveur en cas d'accès à la base de données.

Des chercheurs de la société Wiz ont découvert une vulnérabilité dans la base de données Redis (CVE-2025-49844), permettant l'exécution de code à distance (RCE) sur le serveur. Cette problématique a reçu le niveau de danger le plus élevé (CVSS score 10 sur 10), et pour exploiter cette vulnérabilité, un attaquant doit être en mesure d'envoyer des requêtes à la base de données Redis, autorisant l'exécution de scripts Lua personnalisés.

En plus des instances Redis accessibles au public qui permettent un accès sans authentification, cette vulnérabilité permet de compromettre des systèmes cloud et des plateformes d'hébergement qui supportent des services pour travailler avec Redis. Selon les données de la société Wiz, l'analyse du réseau a révélé environ 330 000 serveurs Redis acceptant des connexions, dont environ 60 000 acceptent des requêtes sans authentification. L'image officielle du conteneur Docker proposée par le projet Redis est configurée pour un accès sans authentification par défaut.

La vulnérabilité est causée par un accès à une mémoire déjà libérée (use-after-free), survenant lors de la manipulation du ramasse-miettes à partir d'un script Lua spécialement conçu. Ce problème permet de contourner l'isolation sandbox de l'environnement Lua dans Redis et d'exécuter du code dans le système principal avec les droits de l'utilisateur sous lequel la base de données est exécutée. Il est remarquable que cette erreur soit restée non détectée pendant 13 ans. Les chercheurs ayant identifié le problème ont démontré un exploit fonctionnel, mais les détails de l'exploitation ne sont pas encore révélés pour permettre la mise en place des mises à jour.

La vulnérabilité se manifeste également dans le projet Valkey, qui développe un fork de Redis, fourni dans la plupart des distributions Linux, y compris RedHat Enterprise Linux 10. La vulnérabilité a été corrigée dans les versions Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 et 6.2.20, ainsi que dans Valkey 8.1.4, 8.0.6 et 7.2.11. L'état de la nouvelle version du package ou de la préparation d'un correctif dans les distributions peut être vérifié sur les pages suivantes : Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD et NetBSD. Comme solution de contournement pour protéger la base de données, il est possible de désactiver l'exécution de scripts Lua en interdisant les commandes EVAL et EVALSHA via l'ACL.

De plus, il convient de noter trois autres vulnérabilités, exploitées via des scripts Lua et corrigées dans les dernières versions de Redis et Valkey. Pour une protection de contournement contre ces vulnérabilités via l'ACL, les familles de commandes EVAL et FUNCTION peuvent être interdites.

• CVE-2025-46817 — débordement d'entier dans les fonctions Lua de bibliothèque, permettant potentiellement l'exécution de code malveillant côté serveur. de serveurs lors de l'exécution de scripts Lua spécialement conçus.
• CVE-2025-46819 — erreur entraînant la lecture des données hors des limites du tampon lors de l'exécution d'un script Lua spécialement conçu. La vulnérabilité peut être exploitée pour entraîner l'arrêt du processus serveur Redis.
• CVE-2025-46818 — possibilité d'exécuter des commandes dans le contexte d'un autre utilisateur de la base de données lors de la manipulation des objets LUA à partir d'un script Lua spécialement conçu.

Source : opennet.ru