CVE-2025-49844 - RediShell

Use-after-free no script Lua do Redis levando à execução remota de código.

Resumo do CVE

Redis é um banco de dados de código aberto, em memória. CVE-2025-49844 é uma vulnerabilidade de use-after-free no motor de script Lua embutido do Redis. Um usuário autenticado com acesso ao script Lua pode enviar um script especialmente criado que manipula a coleta de lixo, desencadeia corrupção de memória e pode levar à execução remota de código fora da sandbox Lua.

O problema afeta versões do Redis com script Lua anteriores às versões corrigidas. A aplicação de patch no servidor Redis é a correção recomendada. Se a aplicação de patch não for imediatamente possível, o script Lua do Redis deve ser restrito com ACLs negando comandos como EVAL e EVALSHA.

Versões Afetadas

• Redis 6.2 anterior ao 6.2.20
• Redis 7.2 anterior ao 7.2.11
• Redis 7.4 anterior ao 7.4.6
• Redis 8.0 anterior ao 8.0.4
• Redis 8.2 anterior ao 8.2.2

Anomalias

A verificação de vulnerabilidade é ampla e verifica uma versão afetada do Redis com script Lua habilitado. O caminho de exploração é muito mais restritivo porque depende do layout binário exato, IDs de build, offsets de funções e gadgets JOP.

Este script suporta de forma confiável apenas o seguinte:

• redis:8.2.1-alpine com build ID f5a80511e802827d
• redis:8.2.1-bookworm com build ID fcae35583392417f

A execução do comando não tem saída.

Referências

• Aviso de Segurança do Redis - GHSA-4789-qfc9-5f9q
• NVD - CVE-2025-49844
• CVE Details - CVE-2025-49844
• Notas de lançamento do Redis 8.2.2
• Commit de patch do Redis
• PoC completa de exploit público - saneki
• Laboratório Docker público - raminfp