⚠️ 概要

CVE-2025-49844 ("RediShell") は、Redis の組み込み Lua スクリプティングエンジンにおける 重大な use-after-free (UAF) メモリ破損 の脆弱性です。

認証済み ユーザーが EVAL / EVALSHA を介して特別に細工された Lua スクリプトを送信すると、ガベージコレクタを操作し、パース/実行中に UAF を引き起こし、Lua サンドボックスをエスケープして、基盤となるホスト上で 任意コード実行 を実現します。

このバグは Redis のソースコード内に 約13年間（Lua 統合の初期から）潜んでおり、パッチが適用された2025年10月まで Lua が有効な事実上 すべてのバージョン に影響を与えました。

“たった1回の悪意あるEVAL呼び出し。サーバー完全掌握。2025–2026年のRedisは面白くなってきた。”

🔥 深刻度と影響

• CVSS v3.1 基本スコア: 10.0 / Critical (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
• 攻撃ベクトル: ネットワーク（Redis TCP ポート、通常 6379）
• 必要な権限: 低（スクリプト実行権限を持つ認証済み Redis ユーザーであれば誰でも）
• ユーザー操作: 不要
• エクスプロイトの成熟度: 開示後すぐに公開 PoC とエクスプロイトツールがリリース

2026年3月の現実:

• 公開エクスプロイトはリバースシェル、永続化、暗号通貨マイニングペイロードを標的に
• クラウド環境（キャッシュ層、セッションストア、キュー）でリスク高
• 弱い認証 / 露出した Redis との組み合わせでインフラ全体が侵害
• 多くのレガシーデプロイ、Docker イメージ、マネージドサービスがまだ脆弱

🕵️ 発見とクレジット

• 発見: Wiz Research チーム
• Pwn2Own Berlin（2025年5月）で報告
• 調整された開示: 2025年10月3日（Redis セキュリティアドバイザリ + パッチ）
• Wiz によって "RediShell" と命名（Lua エスケープによるシェル風 RCE）

🔬 技術的な深掘り

Redis は Lua 5.x をスクリプティング用に組み込んでいます（EVAL、EVALSHA、関数など）。
欠陥は Lua パーサー/GC の相互作用に存在します：

1. 攻撃者が EVAL を介して細工された Lua スクリプトを送信
2. パース中（luaY_parser）、TString オブジェクトが割り当てられるが、Lua スタック上で 保護されない
3. GC が早期に実行 → オブジェクトが解放される
4. 後続のコードが解放されたメモリを使用 → UAF プリミティブ
5. 攻撃者はこれを連鎖させてメモリリーク、ASLR 回避、ROP/return-to-libc → サンドボックス外での任意のネイティブコード実行

重要な致命点: Lua サンドボックスはメモリ破損プリミティブに対して強化されていなかった。

📅 タイムライン

🖥️ 影響を受けるシステム

脆弱: 2025年10月のパッチより前の Lua スクリプティングが有効な すべての Redis バージョン
修正版:

• Redis 8.2.2+
• Redis 8.0.4+
• Redis 7.4.6+
• Redis 7.2.11+
• Redis 6.2.20+

2026年の一般的な標的:

• クラウドキャッシュ/セッションストア（AWS ElastiCache、Azure Cache、GCP Memorystore）
• デフォルトの Redis イメージを使用した Docker/K8s デプロイ
• Redis < 7.x を使用するレガシーアプリ
• 露出した Redis インスタンス（認証なしまたは弱いパスワード）

回避策（パッチ適用前）:

• ACL で Lua スクリプティングを無効化: EVAL、EVALSHA、SCRIPT LOAD などを拒否
• 強力な認証 + ネットワーク制限を適用

💥 公開エクスプロイトと PoC

現実的な攻撃フロー（高レベル、公開分析より）:

1. Redis に認証（パスワードが必要な場合）
2. UAF + メモリリークを引き起こす細工された EVAL スクリプトを送信
3. リークを使用して ASLR を回避
4. ROP ガジェットを連鎖 → リバースシェル / ペイロード実行を起動

例示的なワンライナーの骨格（完全なエクスプロイトではない – 説明目的）:

redis-cli -h <target> -p 6379 -a password
> EVAL "crafted_lua_that_triggers_uaf_and_execs_shell" 0

完全な武器化 PoC は数日以内に GitHub に登場（メモリリーク → ROP → シェル）。
多くは ASLR 回避、NX/DEP 回避、永続化オプションを含む。

🛡️ 確認と修復（2026年3月）

1. バージョンの確認

redis-cli INFO SERVER | grep redis_version

→ 上記のパッチ済みリリースより古い場合、脆弱

2. 即時パッチ適用

• 最新安定版（8.2.x+ 推奨）にアップグレード
• マネージドサービス（AWS/Azure/GCP）の場合: 強制アップグレードまたはパッチ適用の確認

3. 強化

• Lua を完全に無効化（不要な場合）:
  root@kitploit:~

  # redis.conf または ACL 内
  acl setuser default off ~* &* +@all -EVAL -EVALSHA -SCRIPT
  

• localhost にバインド / TLS + 強力な認証を使用
• ファイアウォール: TCP/6379 を信頼できる IP に制限
• 異常な EVAL 使用を監視

📈 ステータス — 2026年3月

• 未パッチのクラウド/レガシーインスタンスに対する悪用が依然として活発
• Redis は依然として広く使われている → 価値の高い標的
• エコシステムの変化: 多くの組織がデフォルトで Lua スクリプティングを無効化

🎓 学んだ教訓

• 13年ものバグが組み込みインタプリタに潜む
• メモリ破損によるサンドボックスエスケープ = 即時 RCE
• 認証済みであっても 安全とは限らない — 特に露出したサービスでは
• 迅速にパッチ適用、危険な機能はさらに迅速に無効化