Raziskovalci iz podjetja Wiz so odkrili ranljivost (CVE-2025-49844) v sistemu za upravljanje z bazami podatkov Redis, ki omogoča oddaljeno izvajanje kode (RCE) na strežniku. Tej težavi je dodeljena najvišja stopnja tveganja (CVSS ocena 10 od 10), pri čemer mora imeti napadalec možnost pošiljanja zahtevkov k sistemu Redis, ki omogoča izvajanje uporabniških Lua skript.
Poleg javno dostopnih primerkov Redisa, ki omogočajo dostop brez avtentikacije, ranljivost omogoča kompromitacijo oblačnih sistemov in platform za gostovanje, ki podpirajo storitve za delo z Redisom. Po podatkih podjetja Wiz je skeniranje omrežja odkrilo približno 330 tisoč Redis strežnikov, ki sprejemajo povezave, od katerih približno 60 tisoč sprejema zahtevke brez avtentikacije. Uradna podoba Docker kontejnerja, ki jo nudi projekt Redis, je privzeto nastavljena za dostop brez avtentikacije.
Ranljivost je povzročena z dostopom do že osvobojene pomnilniške lokacije (use-after-free), ki se pojavi pri manipulaciji z zbiralnikom smeti iz posebej oblikovanega Lua skripta. Težava omogoča zaobiti sandbox izolacijo Lua okolja v Redis in izvajati kodo v glavnem sistemu s pravicami uporabnika, pod katerim se izvaja sistem za upravljanje z bazami podatkov. Zanimivo je, da je bila napaka neopazna celih 13 let. Raziskovalci, ki so odkrili težavo, so prikazali delujoč eksploitat, vendar podrobnosti izkoriščanja zaenkrat niso razkrite, da bi omogočili čas za namestitev posodobitev.
Ranljivost se prav tako pojavlja v projektu Valkey, ki razvija fork Redisa, dostavljen v večini Linux distribucij, vključno z RedHat Enterprise Linux 10. Ranljivost je odpravljena v izdajah Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 in 6.2.20, prav tako v Valkey 8.1.4, 8.0.6 in 7.2.11. Stanje nove različice paketa ali pripravljenosti popravka v distribucijah lahko preverite na naslednjih straneh: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD in NetBSD. Kot začasno zaščito v sistemu za upravljanje z bazami podatkov lahko onemogočite izvajanje Lua skript, tako da prepoveste ukaze EVAL in EVALSHA preko ACL.
Dodatno lahko omenimo še tri ranljivosti, ki se izkoriščajo preko Lua skript in so odpravljene v najnovejših različicah Redis in Valkey. Za obhod za zaščito pred temi ranljivostmi lahko preko ACL prepoveste družine ukazov EVAL in FUNCTION.
- CVE-2025-46817 — celoštevilsko prenasičenje v Lua funkcijah knjižnic, ki lahko potencialno omogoči izvajanje lastne kode na strani. strežnika ob zagonu posebej oblikovanih Lua skript.
- CVE-2025-46819 — napaka, ki vodi do branja podatkov izven meja pomnilniškega območja pri izvajanju posebej oblikovanega Lua skripta. Ranljivost se lahko uporabi za nenadno prekinitev strežniškega procesa Redis.
- CVE-2025-46818 — možnost izvajanja ukazov v kontekstu drugega uporabnika SDB pri manipulaciji z LUA objekti iz posebej oblikovanega Lua skripta.
Izvor: opennet.ru
