CVE-2025-46818
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W Redis w wersjach 8.2.1 i starszych uwierzytelniony użytkownik może użyć spreparowanego skryptu Lua do manipulowania obiektami LUA i potencjalnego uruchomienia własnego kodu w kontekście innego użytkownika. Problem dotyczy wszystkich wersji Redis ze skryptami Lua. Poprawka w wersji 8.2.2.
Ocena ryzyka
Uwierzytelniony użytkownik może wykonać kod w kontekście innego użytkownika, co może naruszyć izolację i bezpieczeństwo danych.
Rekomendacja
Zaktualizuj Redis do wersji 8.2.2 lub nowszej; jako obejście zablokuj wykonywanie skryptów Lua przez ACL (rodziny EVAL i FUNCTION).
Inne podatności w Redis
Zobacz wszystkie- CVE-2016-10517Wysokie
W Redis przed wersją 3.2.7 występuje podatność na 'Cross Protocol Scripting' z powodu braku weryfikacji ciągów POST i Host:, które nie są zgodne z protokołem Redis.
- CVE-2015-8080Wysokie
Przepełnienie całkowite w funkcji getnum w lua_struct.c w Redis 2.8.x przed wersją 2.8.24 oraz 3.0.x przed wersją 3.0.6 pozwala atakującym z odpowiednimi uprawnieniami do uruchamiania kodu Lua w sesji Redis na spowodowanie odmowy usługi (uszkodzenie pamięci i awaria aplikacji) lub potencjalne obejście zamierzonych ograniczeń sandboxa poprzez dużą liczbę, co wywołuje przepełnienie bufora na stosie.
- CVE-2015-4335Wysokie
Redis w wersjach przed 2.8.21 oraz 3.x przed 3.0.2 umożliwia zdalnym atakującym wykonanie dowolnego kodu bajtowego Lua za pomocą polecenia eval.
- CVE-2025-62507Wysokie
Redis to open source baza danych działająca w pamięci. W wersjach 8.2.0 i nowszych użytkownik może uruchomić polecenie XACKDEL z wieloma identyfikatorami, co wywołuje przepełnienie bufora stosu i potencjalnie prowadzi do zdalnego wykonania kodu. Problem naprawiono w wersji 8.2.3.
- CVE-2023-36824Wysokie
W Redis 7.0 przed wersją 7.0.12 występuje podatność, która może prowadzić do przepełnienia sterty podczas wydobywania nazw kluczy z polecenia i listy argumentów. Może to skutkować odczytem losowej pamięci sterty, uszkodzeniem sterty oraz potencjalnym zdalnym wykonaniem kodu.
- CVE-2022-0543KrytyczneAktywnie exploitowane
Odkryto, że redis, trwała baza danych klucz-wartość, z powodu problemu z pakowaniem jest podatna na ucieczkę z piaskownicy Lua (specyficzną dla Debiana), co może skutkować zdalnym wykonaniem kodu.
- CVE-2017-15047Krytyczne
Funkcja clusterLoadConfig w Redis 4.0.2 umożliwia atakującym spowodowanie odmowy usługi (przekroczenie indeksu tablicy i awaria aplikacji) poprzez wykorzystanie 'ograniczonego dostępu do maszyny'.
- CVE-2016-8339Krytyczne
W Redis w wersjach 3.2.x przed 3.2.4 występuje przepełnienie bufora, które może prowadzić do wykonania dowolnego kodu po wysłaniu spreparowanej komendy. Występuje podatność na zapis poza zakresem w obsłudze opcji client-output-buffer-limit podczas komendy CONFIG SET.
- CVE-2026-92925Wysokie
W Redis Community wykryto błąd w parserze pakietów magistrali klastra, odpowiedzialnym za obsługę pakietów PING, PONG i MEET, który nieprawidłowo waliduje zakończenie ciągów znaków (null-termination) w rozszerzeniach przenoszących ciągi. Pozwala to zdalnemu atakującemu na stworzenie złośliwego pakietu prowadzącego do odczytu poza granicami bufora podczas przetwarzania ładunku pakietu.
- CVE-2026-81934Wysokie
Redis zawiera podatność use-after-free w funkcji 'tlsProcessPendingData()', która obsługuje listę oczekujących danych TLS, gdy Redis jest skonfigurowany z obsługą TLS. Zdalny, nieuwierzytelniony atakujący może wykonać dowolne polecenia z uprawnieniami serwera Redis.
Oryginalny opis (angielski, źródło NVD)
Redis is an open source, in-memory database that persists on disk. Versions 8.2.1 and below allow an authenticated user to use a specially crafted Lua script to manipulate different LUA objects and potentially run their own code in the context of another user. The problem exists in all versions of Redis with LUA scripting. This issue is fixed in version 8.2.2. A workaround to mitigate the problem without patching the redis-server executable is to prevent users from executing LUA scripts. This can be done using ACL to block a script by restricting both the EVAL and FUNCTION command families.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS