Výskumníci zo spoločnosti Wiz identifikovali zraniteľnosť (CVE-2025-49844) v databázovom systéme Redis, ktorá umožňuje vzdialené vykonávanie kódu (RCE) na serveri. Problém bol označený najvyšším možným stupňom nebezpečenstva (CVSS skóre 10 z 10), pričom na využitie zraniteľnosti musí útočník mať možnosť posielať požiadavky do databázového systému Redis, ktorý umožňuje vykonávanie používateľských Lua skriptov.
Okrem verejne prístupných inštancií Redis, ktoré poskytujú prístup bez autentifikácie, zraniteľnosť umožňuje kompromitáciu cloudových systémov a hostsitenských platforiem, ktoré poskytujú služby pre prácu s Redis. Podľa spoločnosti Wiz skenovanie siete odhalilo okolo 330 000 Redis serverov, z ktorých približne 60 000 akceptuje požiadavky bez autentifikácie. Oficiálny Docker kontajner dodávaný projektom Redis je predvolene nastavený na prístup bez autentifikácie.
Zraniteľnosť je spôsobená prístupom k už uvoľnenej pamäti (use-after-free), čo sa prejavuje pri manipulácii so správcom pamäte v špeciálne upravenom Lua skripte. Problém umožňuje obísť sandboxovú izoláciu Lua prostredia v Redis a vykonať kód v hlavnom systéme s právami používateľa, pod ktorým databázový systém beží. Zaujímavé je, že chyba ostala nepovšimnutá dlhých 13 rokov. Výskumníci, ktorí problém odhalili, demonštrovali funkčný exploit, ale podrobnosti o jeho využití zatiaľ nie sú zverejnené, aby sa poskytol čas na inštaláciu aktualizácií.
Zraniteľnosť sa takisto prejavuje v projekte Valkey, ktorý vyvíja fork Redis a je dodávaný v väčšine distribúcií Linuxu, vrátane RedHat Enterprise Linux 10. Zraniteľnosť bola odstránená vo verziách Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 a 6.2.20, ako aj vo Valkey 8.1.4, 8.0.6 a 7.2.11. Stav novej verzie balíka alebo pripravovaného opravy v distribúciách je možné overiť na nasledujúcich stránkach: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD a NetBSD. Ako obchádzkovú ochranu v databázovom systéme je možné vypnúť vykonávanie Lua skriptov zakázaním príkazov EVAL a EVALSHA prostredníctvom ACL.
Navyše môžeme spomenúť ešte tri zraniteľnosti, ktoré sú využívané prostredníctvom Lua skriptov a boli odstránené v posledných verziách Redis a Valkey. Na obchádzkovú ochranu pred týmito zraniteľnosťami je možné pomocou ACL zakázať skupiny príkazov EVAL a FUNCTION.
- CVE-2025-46817 — pretečenie celých čísel v Lua funkciách knižnice, potenciálne umožňuje vykonanie vlastného kódu na strane. servera pri spúšťaní špeciálne upravených Lua skriptov.
- CVE-2025-46819 — chyba, ktorá spôsobuje čítanie údajov z oblasti mimo bufra pri vykonávaní špeciálne upraveného Lua skriptu. Zraniteľnosť môže byť využitá na havarovanie serverového procesu Redis.
- CVE-2025-46818 — možnosť vykonania príkazov v kontexte iného používateľa databázového systému pri manipulácii s LUA objektmi zo špeciálne upraveného Lua skriptu.
Zdroj: opennet.ru
