FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

漏洞概述

Redis作为广泛应用于实时分析、缓存和消息代理的开源内存数据库，近期发布了多个安全补丁，修复了四个可能导致远程代码执行（RCE）和拒绝服务（DoS）的安全漏洞。这些漏洞编号为CVE-2025-46817、CVE-2025-46818、CVE-2025-46819和CVE-2025-49844，影响所有支持Lua脚本功能的Redis版本。官方已在6.2.20、7.2.11、7.4.6、8.0.4和8.2.2版本中修复这些问题。

关键漏洞详情

CVE-2025-49844（CVSS 10.0）：Lua释放后使用漏洞

这是四个漏洞中最严重的一个，获得了CVSS满分10.0的评分。根据Redis公告，"认证用户可通过特制Lua脚本操纵垃圾回收器，触发释放后使用漏洞，可能导致远程代码执行"。该漏洞源于Redis嵌入式Lua解释器的内存管理缺陷，攻击者可利用已释放的内存指针在Redis服务器进程中执行任意代码，危及所有存储数据，并可能横向渗透至相连系统。

CVE-2025-46817（CVSS 7.0）：Lua命令整数溢出漏洞

该漏洞影响Redis处理Lua库命令的方式，可能导致整数溢出。Redis解释称："认证用户可通过特制Lua脚本引发整数溢出，进而可能导致远程代码执行"。漏洞源自Lua脚本中的算术运算缺乏整数边界检查，攻击者可借此覆写内存值。结合其他Lua功能，最终可在主机系统上执行任意指令。

CVE-2025-46818（CVSS 6.0）：Lua函数用户权限提升漏洞

第三个漏洞允许通过滥用Lua函数在Redis用户间进行权限提升。在多租户或共享Redis环境（如托管服务提供商使用的场景）中，攻击者可借此冒充其他用户，越权访问或修改数据。

CVE-2025-46819（CVSS 6.3）：Lua引擎越界读取漏洞

最后一个漏洞可能导致Lua引擎中的越界读取，使攻击者能够泄露敏感内存数据或使Redis服务器崩溃造成拒绝服务。该漏洞可被用于数据泄露场景，或作为多阶段攻击链的一部分收集内存地址。

缓解措施与最佳实践

Redis建议管理员立即采取以下防护措施：

• 升级至最新版本：6.2.20、7.2.11、7.4.6、8.0.4或8.2.2
• 限制Lua脚本访问：通过访问控制列表（ACL）禁止非管理员用户使用EVAL、EVALSHA和FUNCTION命令
• 实施网络分段：隔离Redis服务器，仅允许受信任应用连接
• 监控可疑Lua活动：记录脚本执行日志并设置异常内存行为告警

对于无法立即升级的环境，Redis建议通过ACL策略临时禁用不受信用户的Lua执行功能。

参考来源：

Critical Flaw CVE-2025-49844 (CVSS 10.0) Allows Remote Code Execution in Redis

本文为 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）