I ricercatori di Wiz hanno identificato una vulnerabilità nel database Redis (CVE-2025-49844) che consente l'esecuzione remota di codice (RCE) sul server. Il problema ha ricevuto il livello di rischio massimo (punteggio CVSS 10 su 10); per sfruttare la vulnerabilità, un attaccante deve avere la possibilità di inviare richieste al database Redis che consente l'esecuzione di script Lua personalizzati.
Oltre agli esemplari pubblicamente accessibili di Redis, che offrono accesso senza autenticazione, la vulnerabilità permette di compromettere i sistemi cloud e le piattaforme di hosting che supportano servizi per lavorare con Redis. Secondo Wiz, la scansione della rete ha rivelato circa 330.000 server Redis in ascolto, di cui circa 60.000 accettano richieste senza autenticazione. L'immagine ufficiale del contenitore Docker fornita dal progetto Redis è configurata per l'accesso senza autenticazione per impostazione predefinita.
La vulnerabilità è causata da un accesso a memoria già liberata (use-after-free), manifestandosi durante la manipolazione del garbage collector tramite uno script Lua appositamente formattato. Il problema consente di eludere l'isolamento sandbox dell'ambiente Lua in Redis ed eseguire codice nel sistema principale con i diritti dell'utente sotto il quale viene eseguito il database. È interessante notare che l'errore è rimasto inosservato per 13 anni. I ricercatori che hanno identificato il problema hanno dimostrato un exploit funzionante, ma i dettagli sull'exploit non sono ancora stati divulgati per consentire l'installazione degli aggiornamenti.
La vulnerabilità si manifesta anche nel progetto Valkey, che sviluppa un fork di Redis, fornito nella maggior parte delle distribuzioni Linux, comprese RedHat Enterprise Linux 10. La vulnerabilità è stata corretta nelle versioni Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 e 6.2.20, così come in Valkey 8.1.4, 8.0.6 e 7.2.11. È possibile controllare lo stato della nuova versione del pacchetto o della preparazione di una patch nelle distribuzioni alle seguenti pagine: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD e NetBSD. Come soluzione alternativa per proteggere il database, è possibile disabilitare l'esecuzione di script Lua vietando i comandi EVAL e EVALSHA tramite ACL.
In aggiunta, si possono notare altre tre vulnerabilità sfruttabili attraverso gli script Lua e corrette nelle ultime versioni di Redis e Valkey. Per una protezione alternativa da queste vulnerabilità, è possibile vietare le famiglie di comandi EVAL e FUNCTION tramite ACL.
- CVE-2025-46817 — overflow di interi nelle funzioni di libreria Lua, potenzialmente consentendo l'esecuzione di codice arbitrario lato server server quando vengono eseguiti script Lua appositamente progettati.
- CVE-2025-46819 — errore che porta alla lettura di dati al di fuori del buffer durante l'esecuzione di uno script Lua appositamente progettato. La vulnerabilità può essere sfruttata per terminare in modo imprevisto il processo del server Redis.
- CVE-2025-46818 — possibilità di eseguire comandi nel contesto di un altro utente del DBMS manipolando oggetti LUA da uno script Lua appositamente progettato.
Fonte: opennet.ru
