I ricercatori di Wiz hanno scoperto una vulnerabilità nel DBMS Redis (CVE-2025-49844) che consente l'esecuzione remota di codice (RCE) sul server. È stato assegnato il massimo livello di gravità al problema (punteggio CVSS 10 su 10), mentre per sfruttare la vulnerabilità l'attaccante deve avere la possibilità di inviare richieste al DBMS Redis, che consente l'esecuzione di script Lua personalizzati.
Oltre agli esemplari pubblicamente accessibili di Redis, che forniscono accesso senza autenticazione, la vulnerabilità consente di compromettere sistemi cloud e piattaforme di hosting che supportano servizi per lavorare con Redis. Secondo Wiz, la scansione della rete ha rivelato circa 330.000 server Redis che accettano connessioni, di cui circa 60.000 accettano richieste senza autenticazione. L'immagine ufficiale del contenitore Docker fornita dal progetto Redis è configurata per consentire l'accesso senza autenticazione per impostazione predefinita.
La vulnerabilità è causata dall'accesso a memoria già liberata (use-after-free), che si manifesta durante la manipolazione del garbage collector tramite uno script Lua appositamente formattato. Il problema consente di aggirare l'isolamento sandbox dell'ambiente Lua in Redis e di eseguire codice nel sistema principale con i diritti dell'utente con cui viene eseguito il DBMS. È notevole che l'errore sia rimasto inosservato per 13 anni. I ricercatori che hanno identificato il problema hanno dimostrato un exploit funzionante, ma i dettagli sull'esploit non sono ancora stati rivelati, per dare tempo agli utenti di installare gli aggiornamenti.
La vulnerabilità si manifesta anche nel progetto Valkey, un fork di Redis fornito nella maggior parte delle distribuzioni Linux, inclusa RedHat Enterprise Linux 10. La vulnerabilità è stata corretta nelle versioni Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 e 6.2.20, così come in Valkey 8.1.4, 8.0.6 e 7.2.11. È possibile verificare lo stato della nuova versione del pacchetto o la preparazione di una patch nelle distribuzioni a queste pagine: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD e NetBSD. Come misura precauzionale di protezione nel DBMS, è possibile disabilitare l'esecuzione degli script Lua vietando i comandi EVAL e EVALSHA tramite ACL.
In aggiunta, si possono notare altre tre vulnerabilità, sfruttabili tramite script Lua e corrette nelle ultime versioni di Redis e Valkey. Per una protezione alternativa da queste vulnerabilità tramite ACL, è possibile vietare le famiglie di comandi EVAL e FUNCTION.
- CVE-2025-46817 — un overflow intero nelle funzioni Lua di libreria, potenzialmente in grado di consentire l'esecuzione di codice personalizzato sul lato server all'avvio di script Lua appositamente formattati.
- CVE-2025-46819 — un errore che porta alla lettura di dati dall'area oltre il buffer durante l'esecuzione di uno script Lua appositamente formattato. La vulnerabilità può essere utilizzata per terminare in modo anomalo il processo server Redis.
- CVE-2025-46818 — la possibilità di eseguire comandi nel contesto di un altro utente del DBMS durante la manipolazione degli oggetti LUA tramite uno script Lua appositamente formattato.
Fonte: opennet.ru
