CVE-2025-49844
Redis: use-after-free в Lua с риском RCE
CVE-2025-49844 позволяет аутентифицированному пользователю Redis выполнить специально подготовленный Lua-скрипт и потенциально добиться удалённого выполнения кода. Обновите redis-server или временно запретите Lua-команды через ACL.
Кому нужно проверить
Администраторам Redis, владельцам приложений с ACL и командам, управляющим кешами, очередями и сессионными хранилищами. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Аутентифицированный пользователь с правом Lua может воздействовать на сборщик мусора, вызвать use-after-free и потенциально выполнить код с правами процесса redis-server.
Затронутые версии
Уязвимы все версии Redis с Lua scripting до исправленных выпусков. Для эксплуатации нужен аутентифицированный пользователь с возможностью выполнять EVAL или EVALSHA.
Исправленные версии
Исправлено в Redis 6.2.20, 7.2.11, 7.4.6, 8.0.4 и 8.2.2; используйте более новый поддерживаемый выпуск соответствующей ветки.
Что сделать
- 1Инвентаризируйте все redis-server, их ветки версий, ACL-пользователей и разрешения EVAL/EVALSHA; не ограничивайтесь проверкой клиентской библиотеки.
- 2Если обновление откладывается, уберите EVAL и EVALSHA из ACL непривилегированных пользователей после проверки функций приложения. Это временная мера и может остановить Lua-зависимые операции.
- 3Обновите Redis до исправленного выпуска в тестовом окружении, проверьте кеш, очереди, репликацию и восстановление, затем разверните с планом отката.
- 4После обновления проверьте ACL, журналы команд и неожиданные дочерние процессы. Если Redis был доступен недоверенным пользователям, расследуйте узел и замените потенциально раскрытые секреты.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.