CVE-2025-49844 - RediShell

Use-after-free nello scripting Lua di Redis che porta all'esecuzione remota di codice.

Riepilogo della CVE

Redis è un database open source in memoria. La CVE-2025-49844 è una vulnerabilità use-after-free nel motore di scripting Lua integrato di Redis. Un utente autenticato con accesso allo scripting Lua può inviare uno script appositamente predisposto che manipola la garbage collection, innesca una corruzione della memoria e può portare all'esecuzione remota di codice al di fuori della sandbox Lua.

Il problema riguarda le versioni di Redis con scripting Lua precedenti alle release corrette. La soluzione consigliata è l'applicazione delle patch al server Redis. Se l'applicazione immediata delle patch non è possibile, lo scripting Lua di Redis dovrebbe essere limitato tramite ACL negando comandi come EVAL e EVALSHA.

Versioni Affette

• Redis 6.2 prima di 6.2.20
• Redis 7.2 prima di 7.2.11
• Redis 7.4 prima di 7.4.6
• Redis 8.0 prima di 8.0.4
• Redis 8.2 prima di 8.2.2

Anomalie

Il controllo della vulnerabilità è ampio e verifica una versione di Redis affetta con scripting Lua abilitato. Il percorso di sfruttamento è molto più restrittivo perché dipende dall'esatto layout binario, dagli ID di build, dagli offset delle funzioni e dai gadget JOP.

Questo script supporta in modo affidabile solo quanto segue:

• redis:8.2.1-alpine con build ID f5a80511e802827d
• redis:8.2.1-bookworm con build ID fcae35583392417f

L'esecuzione del comando non produce output.

Riferimenti

• Advisory di sicurezza Redis - GHSA-4789-qfc9-5f9q
• NVD - CVE-2025-49844
• Dettagli CVE - CVE-2025-49844
• Note di rilascio di Redis 8.2.2
• Commit della patch di Redis
• Exploit PoC pubblico completo - saneki
• Laboratorio Docker pubblico - raminfp