A Wiz cég kutatói felfedeztek egy sebezhetőséget a Redis adatbázis-kezelő rendszerben (CVE-2025-49844), amely lehetővé teszi a távoli kód végrehajtását (RCE) a szerveren. A problémát a legmagasabb veszélyességi szinttel látták el (CVSS pontszám 10-ből 10), ugyanakkor a sebezhetőség kihasználásához a támadónak lehetősége kell legyen arra, hogy kéréseket küldjön a Redis adatbázis-kezelő rendszerhez, amely engedélyezi a felhasználói Lua-scriptek végrehajtását.
A nyilvánosan elérhető Redis példányokon kívül, amelyek hitelesítés nélkül biztosítanak hozzáférést, a sebezhetőség lehetővé teszi a felhőalapú rendszerek és tárhelyszolgáltatások kompromittálását, amelyek támogatják a Redis-szel való munkát. A Wiz adatai szerint a hálózat vizsgálata körülbelül 330 ezer kapcsolatra váró Redis szervert tárt fel, amelyek közül körülbelül 60 ezer hitelesítés nélkül fogad kéréseket. A Redis által biztosított hivatalos Docker konténer kép alapértelmezés szerint hitelesítés nélkül elérhető.
A sebezhetőség a már felszabadított memória (use-after-free) eléréséből adódik, amely a kifejezetten megformált Lua-scriptek szelektív érintésén keresztül nyilvánul meg. A probléma lehetővé teszi a Lua környezet sandbox-izolációjának megkerülését a Redis-ban, és kód végrehajtását a fő rendszerben, a DBMS által végrehajtott felhasználói jogokkal. Figyelemre méltó, hogy a hiba 13 éven keresztül észrevétlen maradt. A problémát felfedező kutatók bemutatták a működő exploitot, de a kihasználás részleteit egyelőre nem hozzák nyilvánosságra, hogy időt adjanak a frissítések telepítésére.
A sebezhetőség a Valkey projektben is megjelenik, amely a Redis forkja, és a legtöbb Linux disztribúcióban, beleértve a RedHat Enterprise Linux 10-et szállítják. A sebezhetőséget a Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 és 6.2.20 verziókban, valamint a Valkey 8.1.4, 8.0.6 és 7.2.11 verziókban kijavították. Ellenőrizheti a csomag új verziójának állapotát vagy a javítás előkészítését a disztribúcióknál a következő oldalakon: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD és NetBSD. Védelmi megoldásként a DBMS-ben letilthatja a Lua-scriptek végrehajtását az EVAL és EVALSHA parancsok ACL általi letiltásával.
Továbbá még három sebezhetőség is említhető, amelyeket Lua-scriptek segítségével lehet kihasználni, és az utolsó Redis és Valkey verziókban kijavították. Az ACL segítségével a védelem megkerülésének elkerülésére az EVAL és FUNCTION parancsok családját letilthatja.
- CVE-2025-46817 — egész számok túlcsordulása a Lua könyvtári funkciókban, amely potenciálisan lehetővé teszi a saját kód végrehajtását a szerver oldalán. a szerver kifejezetten megformált Lua szkriptek futtatásakor.
- CVE-2025-46819 — hiba, amely adattartományok olvasásához vezet a pufferen kívül, amikor kifejezetten megformált Lua szkriptet futtatnak. A sérülékenység kihasználható a Redis szerverfolyamatának leállítására.
- CVE-2025-46818 — parancsok végrehajtásának lehetősége egy másik adatbázis felhasználói fiókjának kontextusában, amikor LUA objektumokat manipulálnak kifejezetten megformált Lua szkriptekből.
Forrás: opennet.ru
