CVE-2025-49844 - RediShell

Redis Lua 脚本中的释放后使用漏洞导致远程代码执行。

CVE 摘要

Redis 是一个开源的内存数据库。CVE-2025-49844 是 Redis 嵌入式 Lua 脚本引擎中的一个释放后使用漏洞。拥有 Lua 脚本访问权限的已认证用户可以发送精心构造的脚本，该脚本操纵垃圾回收、触发内存损坏，并可能导致 Lua 沙箱之外的远程代码执行。

该问题影响在修复版本之前包含 Lua 脚本功能的 Redis 版本。推荐的修复方法是修补 Redis 服务器。如果无法立即修补，应通过 ACL 限制 Redis Lua 脚本，即拒绝 EVAL 和 EVALSHA 等命令。

受影响版本

• Redis 6.2 版本，低于 6.2.20
• Redis 7.2 版本，低于 7.2.11
• Redis 7.4 版本，低于 7.4.6
• Redis 8.0 版本，低于 8.0.4
• Redis 8.2 版本，低于 8.2.2

异常说明

该漏洞检查范围较广，验证的是受影响的 Redis 版本且启用了 Lua 脚本。实际的利用路径要受限得多，因为它依赖于精确的二进制布局、构建 ID、函数偏移量和 JOP 小工具。

此脚本仅可靠地支持以下版本：

• redis:8.2.1-alpine，构建 ID 为 f5a80511e802827d
• redis:8.2.1-bookworm，构建 ID 为 fcae35583392417f

命令执行没有输出。

参考

• Redis 安全公告 - GHSA-4789-qfc9-5f9q
• NVD - CVE-2025-49844
• CVE 详情 - CVE-2025-49844
• Redis 8.2.2 发布说明
• Redis 修复提交
• 公开完整 PoC 利用 - saneki
• 公开 Docker 实验环境 - raminfp