Il bug è rimasto nascosto nel codice sorgente di Redis per circa 13 anni (dalla prima integrazione di Lua) e colpisce praticamente tutte le versioni con Lua abilitato fino alla correzione nell'ottobre 2025.

“Una sola chiamata EVAL malevola. Presa totale del server. Redis nel 2025–2026 è diventato interessante.”

🔥 Gravità e Impatto

• Punteggio base CVSS v3.1: 10.0 / Critico (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
• Vettore d'attacco: Rete (porta TCP Redis, di solito 6379)
• Privilegi richiesti: Basso (qualsiasi utente Redis autenticato con diritti di esecuzione script)
• Interazione utente: Nessuna
• Maturità dell'exploit: PoC pubblici e strumenti di exploit rilasciati poco dopo la divulgazione

Realtà a marzo 2026:

• Gli exploit pubblici mirano a reverse shell, persistenza, payload per crypto-mining
• Alto rischio in ambienti cloud (layer di cache, session store, code)
• Combinato con autenticazione debole / Redis esposto → compromissione totale dell'infrastruttura
• Molte distribuzioni legacy, immagini Docker e servizi gestiti sono ancora vulnerabili

🕵️ Scoperta e Crediti

• Scoperto dal team Wiz Research
• Segnalato tramite Pwn2Own Berlino (maggio 2025)
• Divulgazione coordinata: 3 ottobre 2025 (avviso Redis + patch)
• Soprannominato "RediShell" da Wiz (RCE simile a shell tramite escape Lua)

🔬 Approfondimento Tecnico

Redis incorpora Lua 5.x per lo scripting (EVAL, EVALSHA, funzioni, ecc.).
Il difetto risiede nell'interazione tra parser Lua e GC:

1. L'attaccante invia uno script Lua artefatto tramite EVAL
2. Durante il parsing (luaY_parser), un oggetto TString viene allocato ma non protetto nello stack Lua
3. Il GC viene eseguito prematuramente → libera l'oggetto
4. Il codice successivo utilizza la memoria liberata → primitiva UAF
5. L'attaccante sfrutta questa catena per perdere memoria, bypassare ASLR, eseguire ROP/return-to-libc → esecuzione di codice nativo arbitrario al di fuori della sandbox

Punto critico fatale: la sandbox Lua non è mai stata indurita contro le primitive di corruzione della memoria.

📅 Cronologia

🖥️ Sistemi Colpiti

Vulnerabili: Tutte le versioni di Redis con scripting Lua abilitato prima delle patch di ottobre 2025
Corrette in:

• Redis 8.2.2+
• Redis 8.0.4+
• Redis 7.4.6+
• Redis 7.2.11+
• Redis 6.2.20+

Obiettivi comuni nel 2026:

• Cache cloud/session store (AWS ElastiCache, Azure Cache, GCP Memorystore)
• Distribuzioni Docker/K8s con immagini Redis predefinite
• App legacy che usano Redis < 7.x
• Istanze Redis esposte (nessuna autenticazione o password debole)

Soluzione alternativa (pre-patch):

• Disabilitare lo scripting Lua tramite ACL: negare EVAL, EVALSHA, SCRIPT LOAD, ecc.
• Applicare autenticazione forte + restrizioni di rete

💥 Exploit Pubblico e PoC

Flusso d'attacco realistico (di alto livello, da analisi pubbliche):

1. Autenticarsi a Redis (password se richiesta)
2. Inviare script EVAL artefatto che innesca UAF + memory leak
3. Usare il leak per bypassare ASLR
4. Incatenare gadget ROP → generare reverse shell / eseguire payload

Esempio di one-liner (non exploit completo – solo a scopo illustrativo):

PoC completi e armati sono apparsi su GitHub entro giorni (memory leak → ROP → shell).
Molti includono bypass ASLR, evasione NX/DEP e opzioni di persistenza.

🛡️ Verifica e Rimedio (Marzo 2026)

1. Controllare la versione

→ Vulnerabile se < versioni corrette sopra indicate

2. Applicare subito la patch

• Aggiornare all'ultima stabile (raccomandata 8.2.x+)
• Per servizi gestiti (AWS/Azure/GCP): forzare l'aggiornamento o confermare l'applicazione della patch

3. Indurimento

• Disabilitare Lua completamente se non necessario:
  root@kitploit:~

  # In redis.conf o ACL
  acl setuser default off ~* &* +@all -EVAL -EVALSHA -SCRIPT
  

• Associare a localhost / usare TLS + autenticazione forte
• Firewall: restringere TCP/6379 a IP fidati
• Monitorare per utilizzo anomalo di EVAL

📈 Stato — Marzo 2026

• Lo sfruttamento è ancora attivo contro istanze cloud/legacy non corrette
• Redis rimane ubiquitario → obiettivo ad alto valore
• Cambiamento nell'ecosistema: molte organizzazioni ora disabilitano lo scripting Lua per impostazione predefinita

🎓 Lezioni Apprese

• Bug di 13 anni si nascondono negli interpreti incorporati
• Escape della sandbox tramite corruzione della memoria = RCE istantanea
• Autenticato non significa sicuro — specialmente su servizi esposti
• Patchare velocemente, disabilitare funzionalità rischiose ancora più velocemente