Pesquisadores da empresa Wiz identificaram uma vulnerabilidade no banco de dados Redis (CVE-2025-49844), que permite a execução remota de código (RCE) no servidor. A questão foi classificada como de alto nível de perigo (pontuação CVSS 10 de 10), e para explorar a vulnerabilidade, o atacante deve ter a capacidade de enviar solicitações ao banco de dados Redis, que permite a execução de scripts Lua personalizados.
Além das instâncias públicas do Redis, que fornecem acesso sem autenticação, a vulnerabilidade permite comprometer sistemas em nuvem e plataformas de hospedagem que suportam serviços para trabalhar com Redis. De acordo com a empresa Wiz, a varredura da rede identificou cerca de 330 mil servidores Redis aceitando conexões, dos quais cerca de 60 mil aceitam solicitações sem autenticação. A imagem oficial do contêiner Docker fornecida pelo projeto Redis está configurada para acesso sem autenticação por padrão.
A vulnerabilidade é causada por acessos à memória já liberada (use-after-free), manifestando-se ao manipular o coletor de lixo a partir de um script Lua especialmente formatado. O problema permite contornar a sandbox de isolamento do ambiente Lua no Redis e executar código no sistema principal com os privilégios do usuário sob o qual o banco de dados está sendo executado. É notável que o erro permaneceu despercebido por 13 anos. Os pesquisadores que identificaram o problema demonstraram um exploit funcional, mas os detalhes da exploração ainda não foram revelados, a fim de dar tempo para a instalação de atualizações.
A vulnerabilidade também se manifesta no projeto Valkey, que desenvolve um fork do Redis, fornecido na maioria das distribuições Linux, incluindo RedHat Enterprise Linux 10. A vulnerabilidade foi corrigida nas versões Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 e 6.2.20, assim como em Valkey 8.1.4, 8.0.6 e 7.2.11. Para verificar o estado da nova versão do pacote ou se uma correção está sendo preparada nas distribuições, acesse as seguintes páginas: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD e NetBSD. Como uma medida alternativa de proteção no banco de dados, é possível desativar a execução de scripts Lua, proibindo os comandos EVAL e EVALSHA através de ACL.
Adicionalmente, podem ser mencionadas mais três vulnerabilidades, exploráveis através de scripts Lua e corrigidas nas últimas versões do Redis e do Valkey. Para proteção adicional contra essas vulnerabilidades, através da ACL, é possível proibir as famílias de comandos EVAL e FUNCTION.
- CVE-2025-46817 — estouro inteiro em funções de biblioteca Lua, possibilitando a execução de código malicioso no lado do servidor servidor ao executar scripts Lua especialmente formatados.
- CVE-2025-46819 — erro que leva à leitura de dados fora da área do buffer ao executar um script Lua especialmente formatado. A vulnerabilidade pode ser utilizada para causar a falha do processo do servidor Redis.
- CVE-2025-46818 — possibilidade de execução de comandos no contexto de outro usuário do SGBD ao manipular objetos LUA de um script Lua especialmente formatado.
Fonte: opennet.ru
