CVE-2025-49844 – Redis Lua पार्सर Use-After-Free

Lua चंक-नाम GC रेस जो Redis 8.2.1 में use-after-free और रिमोट कोड निष्पादन की ओर ले जाती है।

अवलोकन

Redis स्क्रिप्टिंग के लिए Lua 5.1 एम्बेड करता है। 8.2.1 तक के संस्करणों में luaY_parser फ़ंक्शन लेक्सर को आमंत्रित करने से पहले चंक नाम स्ट्रिंग को Lua स्टैक पर एंकर नहीं करता है। एक क्राफ्टेड स्क्रिप्ट गार्बेज कलेक्शन को ट्रिगर कर सकती है जबकि पार्सर अभी भी मुक्त की गई स्ट्रिंग को संदर्भित करता है, जिससे UAF उत्पन्न होता है जो नेटिव कोड निष्पादन की ओर ले जाता है।

वातावरण

• Redis सर्वर 8.2.1 (या 8.2.2 से पहले का कोई भी संवेदनशील रिलीज़)
• redis-cli
• Redis इंस्टेंस तक स्थानीय नेटवर्क पहुँच

फ़ाइलें

• CVE-2025-49844.lua – GC-सक्षम चंक नाम के साथ हज़ारों loadstring कॉल और पार्सर को हथौड़ा मारकर रेस जीतें।

उपयोग

while redis-cli -h localhost -p 6379 --eval CVE-2025-49844.lua >/dev/null; do
    printf '.'
done

अपेक्षित परिणाम:

संवेदनशील बिल्ड पर Redis प्रक्रिया अंततः क्रैश हो जाती है या कनेक्शन गिरा देती है। पैच किया गया 8.2.2 (कमिट d5728cb5795c966c5b5b1e0f0ac576a7e69af539) चंक नाम को एंकर करता है और स्क्रिप्ट हानिरहित रूप से चलती है।

शमन

Redis 8.2.2 या बाद के संस्करण में अपग्रेड करें, या अविश्वसनीय उपयोगकर्ताओं के लिए Lua स्क्रिप्टिंग अक्षम करें।