Vulnerabilidade Use-After-Free no Redis Permite Execução Remota de Código

Uma vulnerabilidade crítica foi identificada no Redis Server, permitindo que atacantes autenticados realizem execução remota de código através de uma falha do tipo use-after-free no motor de script Lua. Classificada como CVE-2025-49844, essa vulnerabilidade afeta todas as versões do Redis que suportam a funcionalidade de scripting Lua, representando um risco significativo para organizações que dependem do Redis para armazenamento de dados em memória.

Pesquisadores de segurança da Wiz, em colaboração com a Iniciativa Zero Day da Trend Micro, descobriram que a falha resulta de uma gestão inadequada da memória na implementação do Lua, onde referências a memória liberada persistem após a coleta de lixo. Ao criar scripts Lua maliciosos que manipulam os tempos de coleta de lixo, atacantes podem explorar essa condição, assumindo o controle de regiões de memória liberadas e executando código arbitrário com os privilégios do processo do servidor Redis.

A exploração é facilitada pela simplicidade do ataque, que requer apenas credenciais válidas do Redis e pode ser realizada remotamente, sem necessidade de interação adicional do usuário. A vulnerabilidade é classificada com um escore CVSS 3.1 de 10.0, exigindo atenção imediata dos administradores. Enquanto um patch oficial está em desenvolvimento, recomenda-se que administradores implementem listas de controle de acesso (ACLs) para restringir ou desabilitar os comandos EVAL e EVALSHA, mitigando assim o risco de exploração.

Fonte: https://cyberpress.org/redis-use-after-free-vulnerability/

Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).