RediShell: פרצת Redis בציון 10 מאפשרת הרצת קוד מרחוק, לפי Wiz
חוקרי Wiz חשפו ב-6 באוקטובר 2025 את RediShell, באג בן כ-13 שנה בתמיכה ב-Lua של Redis. Redis פרסמה תיקון ב-3 באוקטובר, ו-Wiz מונה כ-60 אלף מופעים חשופים בלי אימות.
TL;DR בקצרה
- RediShell (CVE-2025-49844) היא פרצת use-after-free בתמיכה ב-Lua של Redis, בציון CVSS 10.0 לפי Redis.
- Redis פרסמה תיקון ב-3 באוקטובר 2025. Wiz פרסמה את הפרטים ב-6 באוקטובר.
- לפי Wiz, כ-330 אלף מופעי Redis חשופים לאינטרנט, ובכ-60 אלף מהם אין אימות.
- הפתרון: שדרוג, אימות, חסימת רשת, או חסימת EVAL ו-EVALSHA באמצעות ACL.
RediShell היא פרצה בציון CVSS של 10 ב-Redis. סקריפט Lua מיוחד יכול להגיע בעזרתה להרצת קוד על השרת. Redis פרסמה תיקון ב-3 באוקטובר 2025, וחוקרי Wiz פרסמו את הפרטים ב-6 באוקטובר.
Lua הוא שפת סקריפטים ש-Redis מריצה בתוך השרת, באמצעות הפקודות EVAL ו-EVALSHA. התכונה פעילה כברירת מחדל. לכן הבאג רלוונטי לכל מי שמריץ Redis, גם אם לא כתב סקריפט בעצמו.
Wiz מעריכה ש-Redis פועלת בכ-75% מסביבות הענן. לכן הפרצה מעניינת מנהלי מערכות, צוותי DevOps ומפתחים.
RediShell: מה הפרצה ב-Redis מאפשרת
הבאג, CVE-2025-49844, הוא use-after-free. זו שגיאה שבה התוכנית ממשיכה להשתמש באזור זיכרון שכבר שוחרר.
לפי Redis, משתמש מאומת יכול לשלוח סקריפט Lua שמבלבל את מנגנון ניקוי הזיכרון, ה-garbage collector. כך הוא מפעיל את הבאג ועלול להריץ קוד על השרת.
לדברי Wiz, הבאג קיים בקוד של Redis כ-13 שנה. הוא משפיע על כל גרסה שתומכת ב-Lua. לדבריה, הפרצה רלוונטית גם ל-Valkey. היא רלוונטית גם לשירותי ענן כמו Amazon ElastiCache, Google Cloud Memorystore ו-Azure Cache for Redis.
החוקרים דיווחו על הפרצה ל-Redis ב-16 במאי 2025, בתחרות Pwn2Own ברלין. Wiz לא פרסמה עדיין את פרטי הניצול.
כמה מופעי Redis חשופים לאינטרנט
לפי Wiz, כ-330 אלף מופעי Redis חשופים לאינטרנט. בכ-60 אלף מהם אין אימות בכלל. Wiz מוסיפה ש-57% מסביבות הענן מתקינות Redis כתמונות קונטיינר, ורבות מהן בלי הקשחה.
ההבחנה הזאת חשובה. לפי Redis, תוקף צריך לפני כן גישה מאומתת למופע. אבל מופע בלי אימות מאפשר גישה לכל מי שמגיע אליו. לפי Wiz, מופעים כאלה בסיכון גבוה, כי Lua פעיל בהם כברירת מחדל.
Redis מסרה שאין לה ראיות לניצול ב-Redis Cloud או אצל לקוחות. Wiz מתארת מה יכול לקרות אחרי פריצה. התוקף יכול לפתוח מעטפת הפוכה ולגנוב מפתחות SSH ואסימוני IAM. הוא יכול גם להתקין כורה מטבעות ולעבור לשרתים אחרים.
איך מתקנים את RediShell
הגרסאות המתוקנות של Redis בקוד פתוח הן 6.2.20, 7.2.11, 7.4.6, 8.0.4 ו-8.2.2. Redis Cloud כבר עודכן. מי שמריץ Redis בעצמו צריך לשדרג. ל-Redis Software יש גרסאות מתוקנות משלו, והן מפורטות בהודעת Redis.
גם Valkey פרסמה תיקון באותו יום, לפי Wiz. Redis ממליצה בנוסף על שלוש הגנות קבועות. הראשונה היא הגבלת גישת רשת. השנייה היא אימות חזק, והשלישית היא הרשאות מינימליות. רק זהויות מהימנות צריכות להריץ סקריפטי Lua.
אם אי אפשר לשדרג מיד, אפשר לחסום סקריפטים. לפי ההתראה של Redis ב-GitHub, אפשר להגביל את הפקודות EVAL ו-EVALSHA עם ACL.
מה זה אומר עבורכם
- שדרגו: לגרסה 8.2.2, 8.0.4, 7.4.6, 7.2.11 או 6.2.20, לפי הענף שלכם. בדקו גם תמונות קונטיינר ישנות.
- סגרו את החשיפה: אל תפתחו Redis לאינטרנט. הגבילו גישה עם firewall או VPC לרשתות מורשות.
- הפעילו אימות: הגדירו סיסמה עם requirepass. לפי Wiz, מופע בלי אימות הוא בסיכון גבוה במיוחד.
- הגבילו את Lua: אם אתם לא משתמשים בו, חסמו את EVAL ו-EVALSHA עם ACL. הריצו את Redis כמשתמש שאינו root.
- חפשו סימני פריצה: חפשו סקריפטים לא מוכרים וקריסות עם stack trace מ-Lua. בדקו גם פקודות חריגות מהמשתמש של redis-server ותנועה יוצאת חריגה.
מה הלאה
Wiz מונעת בינתיים את פרטי הניצול. אחרי הפרסום קל לבנות כלי תקיפה, ולכן כדאי לשדרג לפני כן.
מקורות והרחבה
- RediShell: Critical Remote Code Execution Vulnerability (CVE-2025-49844) in Redis, 10 CVSS scoreWiz Research
- Security Advisory: CVE-2025-49844Redis
- Lua Use-After-Free may lead to remote code execution (GHSA-4789-qfc9-5f9q)GitHub Security Advisories
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
