En nylig oppdaget sikkerhetsfeil i Redis, sporet som CVE-2025-49844, har fått den høyeste alvorlighetsgraden. Sårbarheten gjør det mulig å kjøre ekstern kode via Redis sitt innebygde Lua-skriptsystem. Redis oppfordrer nå alle administratorer til å oppdatere systemene sine umiddelbart.
Hvordan sårbarheten fungerer
Feilen skyldes en use-after-free-feil i Redis’ Lua-motor. Angripere som kan kjøre Lua-skript, kan utnytte svakheten til å forårsake minnefeil og bryte ut av sandkassen. Dette gir dem mulighet til å kjøre vilkårlig kode på vertsserveren, installere skadevare eller stjele sensitiv informasjon.
Sikkerhetsforskere avslører at feilen har eksistert i over 13 år og påvirker alle Redis-versjoner med Lua-skripting aktivert. Det gjør dette til en av de mest omfattende sårbarhetene i plattformens historie.
Omfanget av eksponering
Redis er fortsatt en av de mest brukte in-memory-databasene i skybaserte miljøer. Analytikere hos Wiz fant mer enn 330 000 eksponerte Redis-installasjoner, hvorav rundt 60 000 mangler autentisering fullstendig. Mange av disse serverne er i aktiv produksjon, noe som skaper en enorm angrepsflate.
Sårbarheten har fått en CVSS-score på 10.0, som reflekterer dens kritiske risiko. Uoppdaterte servere er sårbare for full systemkompromittering, datatyveri og lateral bevegelse i nettverk.
Anbefalte tiltak
Administratorer bør straks iverksette tiltak for å sikre sine Redis-miljøer:
- Oppdater til den nyeste versjonen med sikkerhetsoppdatering.
- Aktiver autentisering på alle instanser.
- Deaktiver Lua-skripting hvis det ikke er nødvendig.
- Kjør Redis som en bruker uten root-rettigheter for å begrense skadeomfanget.
- Begrens nettverkstilgang og overvåk logger for mistenkelig aktivitet.
Disse tiltakene reduserer risikoen for utnyttelse betydelig mens brukerne implementerer den offisielle oppdateringen fra Redis.
Konklusjon
Sårbarheten CVE-2025-49844 viser hvordan gammel kode kan utgjøre alvorlige trusler når den blir oversett. Med hundretusenvis av eksponerte instanser er rask patching og streng konfigurasjon avgjørende for å forhindre omfattende angrep og datainnbrudd.
0 responses to “Redis-sårbarhet CVE-2025-49844 truer global infrastruktur”