CVE-2025-49844 – Redis Lua 파서의 Use-After-Free 문제

요약하자면 이 스크립트를 실행하고

localhost

대신 타깃 IP를 입력하고 포트도 설정하면 연결됩니다. 취약하다면 원하는 명령을 실행할 수 있습니다.

Shodan에서도 이 페이로드로 취약한 타깃을 찾을 수 있습니다.

product:"Redis key-value store"

버전을 확인하고 8.2 미만인지 확인하세요.

익스플로잇 실행

while redis-cli -h localhost -p 6379 --eval CVE-2025-49844.lua >/dev/null; do
    printf 'connect to server :) RCE'
done

해야 할 일

1. 가능하다면 Redis를 8.2.2 이상으로 업데이트하세요.

2. 업데이트할 수 없다면, 최소한 알 수 없거나 신뢰할 수 없는 사용자에 대해 Lua 실행을 비활성화하세요.