Redis · Redis · CVE-2025-49844
**Nome do Software Vulnerável e Versões Afetadas**
Versões do Redis anteriores a 8.2.2
Versões do Redis anteriores a 8.0.4
Versões do Redis anteriores a 7.4.6
Versões do Redis anteriores a 7.2.11
Versões do Redis anteriores a 6.2.20
**Descrição**
O Redis contém uma vulnerabilidade de scripting Lua que pode levar à execução remota de código (RCE). Esta falha, apelidada de RediShell (CVE-2025-49844), é um problema de corrupção de memória do tipo use-after-free presente no motor de scripting Lua. Um atacante autenticado pode explorar isso enviando um script Lua especialmente elaborado, escapando da sandbox Lua e executando código arbitrário no sistema hospedeiro. Aproximadamente 330.000 instâncias do Redis estão expostas à internet, com cerca de 60.000 sem autenticação, aumentando o risco de exploração. A vulnerabilidade existe há 13 anos. A exploração bem-sucedida pode permitir que atacantes roubem credenciais, implantem malware ou realizem movimentação lateral dentro de uma rede. Os comandos `EVAL` e `EVALSHA` estão envolvidos no processo de exploração.
**Recomendações**
Atualize o Redis para a versão 8.2.2 ou posterior.
Atualize o Redis para a versão 8.0.4 ou posterior.
Atualize o Redis para a versão 7.4.6 ou posterior.
Atualize o Redis para a versão 7.2.11 ou posterior.
Atualize o Redis para a versão 6.2.20 ou posterior.
Restrinja o uso dos comandos `EVAL` e `EVALSHA` via Listas de Controle de Acesso (ACLs) como uma mitigação temporária.
Garanta que as instâncias do Redis não estejam diretamente expostas à internet.
Imponha autenticação forte para todas as instâncias do Redis.
Execute o Redis com uma conta de usuário não privilegiada.
Implemente restrições de rede para limitar o acesso às instâncias do Redis.