Forskare frÄn företaget Wiz har identifierat en sÄrbarhet i databashanteraren Redis (CVE-2025-49844) som möjliggör fjÀrrkodexekvering (RCE) pÄ servern. Problemen har tilldelats högsta fara (CVSS poÀng 10 av 10), och för att utnyttja sÄrbarheten mÄste angriparen ha möjlighet att skicka förfrÄgningar till Redis-databashanteraren som tillÄter exekvering av anvÀndarspecifika Lua-skript.
Förutom offentligt tillgÀngliga Redis-instanser som erbjuder Ätkomst utan autentisering, möjliggör sÄrbarheten att kompromettera molnsystem och hostingplattformar som stödjer tjÀnster för arbete med Redis. Enligt Wiz, har nÀtverksscanning avslöjat cirka 330 000 Redis-servrar som accepterar anslutningar, varav ungefÀr 60 000 accepterar förfrÄgningar utan autentisering. Den officiella Docker-containerbilden som tillhandahÄlls av Redis-projektet Àr konfigurerad för Ätkomst utan autentisering som standard.
SÄrbarheten orsakas av Ätkomst till redan frigjord minne (use-after-free) som upptrÀder vid manipulation av skrÀpsamlaren frÄn ett speciellt utformat Lua-skript. Problemet möjliggör att kringgÄ sandbox-isolering av Lua-miljön i Redis och exekvera kod i det huvudsakliga systemet med de rÀttigheter som den anvÀndare som kör databashanteraren har. Det Àr vÀrt att notera att felet förblev oidentifierat i 13 Är. Forskarna som upptÀckte problemet har demonstrerat en fungerande exploit, men detaljer om utnyttjandet hÄlls fortfarande hemliga för att ge tid för installation av uppdateringar.
SÄrbarheten förekommer ocksÄ i Valkey-projektet, som utvecklar en fork av Redis som levereras med de flesta linuxdistributioner, inklusive RedHat Enterprise Linux 10. SÄrbarheten har ÄtgÀrdats i utgÄvor av Redis 8.2.2, 8.0.4, 7.4.6, 7.2.11 och 6.2.20, samt i Valkey 8.1.4, 8.0.6 och 7.2.11. Man kan kontrollera status för den nya paketversionen eller uppdateringen i distributionerna pÄ följande sidor: Debian, Ubuntu, Fedora, SUSE/openSUSE, RHEL, Gentoo, Arch, FreeBSD, OpenBSD och NetBSD. Som en tillfÀllig skyddsmetod i databashanteraren kan man stÀnga av exekveringen av Lua-skript genom att förbjuda kommandon EVAL och EVALSHA genom ACL.
Det finns ytterligare tre sÄrbarheter som utnyttjas via Lua-skript och som har ÄtgÀrdats i de senaste versionerna av Redis och Valkey. För att skydda mot dessa sÄrbarheter kan man genom ACL förbjuda kommandofamiljerna EVAL och FUNCTION.
- CVE-2025-46817 â heltalsöverflöd i bibliotekets Lua-funktioner, vilket potentiellt kan möjliggöra exekvering av egen kod pĂ„ sidan servern vid körning av sĂ€rskilt utformade Lua-skript.
- CVE-2025-46819 â ett fel som leder till att data lĂ€ses frĂ„n ett omrĂ„de utanför bufferten vid exekvering av ett sĂ€rskilt utformat Lua-skript. SĂ„rbarheten kan anvĂ€ndas för att krascha Redis-serverprocessen.
- CVE-2025-46818 â möjlighet till exekvering av kommandon i en annan anvĂ€ndares databas nĂ€r man manipulerar LUA-objekt frĂ„n ett sĂ€rskilt utformat Lua-skript.
KĂ€lla: opennet.ru
