⚠️ نظرة عامة

CVE-2025-49844 ("RediShell") هي ثغرة خطيرة من نوع استخدام بعد التحرير (UAF) تسبب تلفًا في الذاكرة في محرك Lua المضمّن في Redis.

يمكن لمستخدم موثَّق إرسال سكربت Lua مصمَّم خصيصًا عبر EVAL / EVALSHA يتلاعب بجامع القمامة، ويُحدث UAF أثناء التحليل/التنفيذ، ويهرب من صندوق Lua الرملي، ويحقق تنفيذ تعليمات برمجية عشوائية على المضيف الأساسي.

كانت الثغرة مختبئة في كود Redis المصدر لمدة ~13 عامًا (منذ دمج Lua المبكر) وتؤثر على جميع الإصدارات تقريبًا مع تمكين Lua حتى تم تصحيحها في أكتوبر 2025.

"استدعاء EVAL ضار واحد. استيلاء كامل على الخادم. Redis في 2025–2026 أصبح مثيرًا للاهتمام."

🔥 الخطورة والتأثير

• درجة CVSS v3.1 الأساسية: 10.0 / خطير (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
• ناقل الهجوم: شبكة (منفذ Redis TCP، عادة 6379)
• الامتيازات المطلوبة: منخفضة (أي مستخدم Redis موثَّق لديه صلاحيات تنفيذ سكربت)
• تفاعل المستخدم: لا شيء
• نضج الاستغلال: أدوات وبراهين مفهوم عامة نُشرت بعد الإفصاح بوقت قصير

الواقع في مارس 2026:

• الاستغلالات العامة تستهدف الصدى العكسي، الاستمرارية، حمولات تعدين العملات الرقمية
• خطر عالٍ في البيئات السحابية (طبقات التخزين المؤقت، مخازن الجلسات، قوائم الانتظار)
• مع ضعف المصادقة/تعرض Redis → اختراق كامل للبنية التحتية
• لا تزال العديد من النشرات القديمة، صور Docker، والخدمات المُدارة عرضة للخطر

🕵️ الاكتشاف والإسناد

• اكتشفه فريق Wiz Research
• تم الإبلاغ عنه عبر Pwn2Own Berlin (مايو 2025)
• إفصاح منسَّق: 3 أكتوبر 2025 (إعلان Redis + التصحيحات)
• أُطلق عليه اسم "RediShell" من قبل Wiz (RCE يشبه الصدى عبر هروب Lua)

🔬 شرح تقني عميق

يضمّن Redis Lua 5.x للبرمجة النصية (EVAL، EVALSHA، الدوال، إلخ).
الخلل موجود في تفاعل محلل Lua مع جامع القمامة:

1. يرسل المهاجم سكربت Lua مصمَّم عبر EVAL
2. أثناء التحليل (luaY_parser)، يُخصَّص كائن TString ولكن لا يُحمى على مكدس Lua
3. يعمل جامع القمامة قبل الأوان → يحرر الكائن
4. يستخدم الكود لاحقًا الذاكرة المحررة → أداة UAF أولية
5. يربط المهاجم هذا لتسريب الذاكرة، تجاوز ASLR، ROP/return-to-libc → تنفيذ كود عشوائي أصلي خارج الصندوق الرملي

النقطة القاتلة الرئيسية: لم يتم تحصين صندوق Lua الرملي أبدًا ضد أدوات تلف الذاكرة.

📅 الجدول الزمني

🖥️ الأنظمة المتأثرة

المعرضة للخطر: جميع إصدارات Redis مع تمكين برمجة Lua قبل تصحيحات أكتوبر 2025
المُصحَّحة في:

• Redis 8.2.2+
• Redis 8.0.4+
• Redis 7.4.6+
• Redis 7.2.11+
• Redis 6.2.20+

الأهداف الشائعة في 2026:

• التخزين المؤقت السحابي/مخازن الجلسات (AWS ElastiCache، Azure Cache، GCP Memorystore)
• نشرات Docker/K8s مع صور Redis الافتراضية
• التطبيقات القديمة التي تستخدم Redis < 7.x
• مثيلات Redis مكشوفة (بدون مصادقة أو كلمة مرور ضعيفة)

الحل البديل (قبل التصحيح):

• تعطيل برمجة Lua عبر ACL: منع EVAL، EVALSHA، SCRIPT LOAD، إلخ.
• فرض مصادقة قوية + قيود شبكية

💥 الاستغلال العام وبرهان المفهوم

تدفق الهجوم الواقعي (مستوى عالٍ، من التحليلات العامة):

1. المصادقة على Redis (كلمة مرور إذا لزم الأمر)
2. إرسال سكربت EVAL مصمَّم يُحدث UAF + تسريب ذاكرة
3. استخدام التسريب لتجاوز ASLR
4. ربط أدوات ROP → إنشاء صدى عكسي / تنفيذ حمولة

مثال سطر واحد أساسي (ليس استغلالًا كاملاً – للتوضيح فقط):

redis-cli -h <هدف> -p 6379 -a كلمة_المرور
> EVAL "lua_مصمم_يُحدث_uaf_وينفذ_صدى" 0

ظهرت براهين مفهوم كاملة مسلَّحة على GitHub في غضون أيام (تسريب ذاكرة → ROP → صدى).
تتضمن العديد منها تجاوز ASLR، تجنب NX/DEP، وخيارات استمرارية.

🛡️ التحقق والإصلاح (مارس 2026)

1. التحقق من الإصدار

redis-cli INFO SERVER | grep redis_version

→ معرض للخطر إذا كان أقل من الإصدارات المُصحَّحة أعلاه

2. التصحيح فورًا

• الترقية إلى أحدث إصدار مستقر (8.2.x+ موصى به)
• للخدمات المُدارة (AWS/Azure/GCP): فرض الترقية أو تأكيد تطبيق التصحيح

3. التحصين

• تعطيل Lua بالكامل إذا لم يكن ضروريًا:
  root@kitploit:~

  # في redis.conf أو ACL
  acl setuser default off ~* &* +@all -EVAL -EVALSHA -SCRIPT
  

• الربط بـ localhost / استخدام TLS + مصادقة قوية
• جدار الحماية: تقييد TCP/6379 لعناوين IP موثوقة
• مراقبة استخدام EVAL الشاذ

📈 الحالة — مارس 2026

• لا يزال الاستغلال نشطًا ضد المثيلات السحابية/القديمة غير المُصحَّحة
• يبقى Redis واسع الانتشار → هدف عالي القيمة
• تحول في النظام البيئي: العديد من المؤسسات تعطل برمجة Lua افتراضيًا الآن

🎓 الدروس المستفادة

• ثغرات عمرها 13 عامًا تختبئ في المفسِّرات المضمَّنة
• هروب من الصندوق الرملي عبر تلف الذاكرة = RCE فوري
• الموثَّق لا يعني آمنًا — خاصة على الخدمات المكشوفة
• صوِّب بسرعة، عطِّل الميزات الخطرة بشكل أسرع