Команда безопасности Redis выпустила исправления для уязвимости максимального уровня серьёзности, которая может позволить злоумышленникам удалённо выполнять код на тысячах уязвимых экземпляров. Она присутствовала в коде проекта 13 лет.

Уязвимость безопасности (отслеживаемая как CVE-2025–49844) вызвана 13-летним багом использования памяти после освобождения. Её обнаружили в исходном коде Redis. Аутентифицированные злоумышленники могут эксплуатировать уязвимость с помощью специально созданного скрипта Lua (функция включена по умолчанию).

Успешная эксплуатация позволяет им выйти из песочницы Lua, запустить использование памяти после освобождения, установить обратную оболочку для постоянного доступа и добиться удалённого выполнения кода на целевых хостах Redis.

После взлома хоста хакеры могут похитить учётные данные, внедрить вредоносное ПО или инструменты для майнинга криптовалюты, извлечь конфиденциальную информацию из Redis, перейти на другие системы в сети жертвы или использовать данные для получения доступа к другим облачным сервисам.