CVE-2025-49844 - RediShell

Use-after-free en el scripting Lua de Redis que conduce a la ejecución remota de código.

Resumen del CVE

Redis es una base de datos de código abierto en memoria. CVE-2025-49844 es una vulnerabilidad de use-after-free en el motor de scripting Lua integrado de Redis. Un usuario autenticado con acceso al scripting Lua puede enviar un script especialmente diseñado que manipula la recolección de basura, provoca corrupción de memoria y puede conducir a la ejecución remota de código fuera del sandbox de Lua.

El problema afecta a las versiones de Redis con scripting Lua anteriores a las versiones corregidas. Parchear el servidor Redis es la solución recomendada. Si no es posible parchear de inmediato, el scripting Lua de Redis debe restringirse con ACL denegando comandos como EVAL y EVALSHA.

Versiones afectadas

• Redis 6.2 anteriores a 6.2.20
• Redis 7.2 anteriores a 7.2.11
• Redis 7.4 anteriores a 7.4.6
• Redis 8.0 anteriores a 8.0.4
• Redis 8.2 anteriores a 8.2.2

Anomalías

La comprobación de vulnerabilidad es amplia y verifica una versión de Redis afectada con scripting Lua habilitado. La ruta de explotación es mucho más restrictiva porque depende del diseño binario exacto, los build IDs, los desplazamientos de funciones y los gadgets JOP.

Este script solo es compatible de forma fiable con lo siguiente:

• redis:8.2.1-alpine con build ID f5a80511e802827d
• redis:8.2.1-bookworm con build ID fcae35583392417f

La ejecución del comando no produce salida.

Referencias

• Aviso de seguridad de Redis - GHSA-4789-qfc9-5f9q
• NVD - CVE-2025-49844
• CVE Details - CVE-2025-49844
• Notas de la versión 8.2.2 de Redis
• Commit del parche de Redis
• PoC de exploit completo público - saneki
• Laboratorio Docker público - raminfp