Redis: выполнение кода через Lua-скрипт (CVE-2025-49844)
В Redis с Lua уже вошедший пользователь мог выполнить код на сервере. Закройте свою ветку: 6.2.20, 7.2.11, 7.4.6, 8.0.4 или 8.2.2. Запрет EVAL помогает только до патча. Открытый порт Redis — отдельный вопрос.
Коротко о главном
- Чем опасно
- Пользователь с правом на Lua мог выполнить код на машине Redis
- С чего начать защиту
- Обновите свою ветку: 6.2 до 6.2.20, 7.2 до 7.2.11, 7.4 до 7.4.6, 8.0 до 8.0.4, 8.2 до 8.2.2 или новее.
- Как подтвердить
- Нужны ручной аудит и проверка реализации. Отсутствие находок во внешнем скане не подтверждает безопасность.
- Продукт
- Redis
- Оценка риска
- CVSS 9.9 / 10
Как проверить и что учитывать
Нужна ручная проверка
Снаружи не видно ни версию Redis, ни право на EVAL. Открытый порт не доказывает CVE-2025-49844. Версию и ACL проверяет администратор. Не делайте вывод о наличии уязвимости только по одному внешнему признаку: подтвердите результат в настройках и версии компонента.
Что нужно для подтверждения
Нужна уже выданная возможность выполнить Lua-скрипт.
Ограничения вывода
- Управляемый Redis у облака может скрывать версию. Её даёт провайдер.
- Запись KEV принадлежит VulnCheck, это не каталог CISA.
Что произошло
Скрипт Lua в Redis мог так управлять сборщиком мусора, что сервер обращался к уже освобождённой памяти. Отсюда выполнение кода.
Бюллетень Redis от 3 октября 2025 года говорит, что проблема есть во всех версиях со скриптами Lua. Исправления выпущены отдельно для каждой поддерживаемой ветки.
Кого это касается
Нужна возможность выполнить Lua: обычно это пользователь с EVAL или EVALSHA. Гость без команд Redis дефект не запускает. Страница про открытый порт отвечает на другой вопрос: не торчит ли база в интернет.
KEV-запись от VulnCheck, не от CISA. Класс CWE-416 совпадает с описанием use-after-free в бюллетене.
| Ветка | Исправление |
|---|---|
| 6.2 | 6.2.20 |
| 7.2 | 7.2.11 |
| 7.4 | 7.4.6 |
| 8.0 | 8.0.4 |
| 8.2 | 8.2.2 |
Как проверить установленную версию
Подключитесь к своему Redis и запросите версию сервера. Не делайте это на чужом открытом порту.
redis-server --versionКак снизить риск
Поставьте патч своей ветки. Запрет EVAL снижает риск до обновления, но не заменяет его. Закройте порт файрволом, даже если пароль уже стоит.
Внешняя проверка сайта не видит Redis за приложением и не подтверждает этот CVE.
Что может произойти
- Пользователь с правом на Lua мог выполнить код на машине Redis
- Под угрозой кэш, сессии и данные, которые лежат в этом экземпляре
- Закрытый от интернета Redis остаётся уязвимым для того, у кого уже есть доступ к командам
Как защититься
- 1Обновите свою ветку: 6.2 до 6.2.20, 7.2 до 7.2.11, 7.4 до 7.4.6, 8.0 до 8.0.4, 8.2 до 8.2.2 или новее.
- 2До патча запретите EVAL и EVALSHA через ACL тем пользователям, которым скрипты не нужны.
- 3Не открывайте порт Redis в интернет: это отдельная и более широкая ошибка.
Как проходит проверка
Снаружи не видно ни версию Redis, ни право на EVAL. Открытый порт не доказывает CVE-2025-49844. Версию и ACL проверяет администратор. Автоматический результат показывает внешний признак риска и требует проверки специалистом с учётом конкретной конфигурации.
Проверить другие внешние рискиЧто делать после обнаружения
- Запишите версию и список пользователей ACL до изменения.
- Если экземпляр был доступен из интернета без пароля, считайте данные и сессии скомпрометированными и смените секреты приложений.
- Повторите обновление на реплике, а не только на основном узле.
Частые вопросы
Что означает риск «Redis: выполнение кода через Lua»?
В Redis с Lua уже вошедший пользователь мог выполнить код на сервере. Закройте свою ветку: 6.2.20, 7.2.11, 7.4.6, 8.0.4 или 8.2.2. Запрет EVAL помогает только до патча. Открытый порт Redis — отдельный вопрос.
Можно ли подтвердить проблему только внешней проверкой?
Снаружи не видно ни версию Redis, ни право на EVAL. Открытый порт не доказывает CVE-2025-49844. Версию и ACL проверяет администратор. Итог нужно сопоставить с конфигурацией, версиями и правами доступа на вашем сайте.
Что сделать в первую очередь?
Обновите свою ветку: 6.2 до 6.2.20, 7.2 до 7.2.11, 7.4 до 7.4.6, 8.0 до 8.0.4, 8.2 до 8.2.2 или новее.