CVE-2025-46818

概要

Redisは、ディスクに永続化するオープンソースのインメモリデータベースです。バージョン8.2.1以下では、認証済みユーザーが特別に細工されたLuaスクリプトを使用して、異なるLUAオブジェクトを操作し、別のユーザーのコンテキストで独自のコードを実行できる可能性があります。この問題は、LUAスクリプト機能を備えたすべてのバージョンのRedisに存在します。この問題はバージョン8.2.2で修正されています。redis-server実行ファイルにパッチを適用せずに問題を軽減する回避策として、ユーザーがLUAスクリプトを実行できないようにすることが挙げられます。これは、ACLを使用してEVALおよびFUNCTIONコマンドファミリーの両方を制限し、スクリプトをブロックすることで実現できます。

• CVE-2025-46818エクスプロイト

  Redis 8.2.1 Luaサンドボックスエスケープのエクスプロイト。非推奨APIと可変メタテーブルを介して、クロスユーザーコマンド実行を可能にします。