Redis ha anunciado la existencia de una falla de seguridad crítica en su software de base de datos en memoria. La vulnerabilidad, identificada como CVE-2025-49844 (también conocida como RediShell), tiene una puntuación CVSS máxima de 10.0.
Características de la vulnerabilidad
Según un aviso publicado en GitHub, «un usuario autenticado podría usar un script Lua especialmente diseñado para manipular el recolector de elementos no utilizados, activar un proceso de uso después de la liberación y potencialmente provocar la ejecución remota de código». El problema afecta a todas las versiones de Redis que incluyen scripts Lua.
Descubrimiento y contexto
La empresa de seguridad en la nube Wiz descubrió e informó de esta falla a Redis el 16 de mayo de 2025. La vulnerabilidad se describe como un error de corrupción de memoria de uso después de la liberación (UAF) que ha existido en el código fuente de Redis durante aproximadamente 13 años.
Condiciones para explotar la vulnerabilidad
Para que la explotación tenga éxito, es necesario que un atacante obtenga primero acceso autenticado a una instancia de Redis. Por ello, se destaca la importancia de no dejar expuestas las instancias de Redis a Internet y protegerlas con una autenticación robusta.
Solución y parche
El problema afecta a todas las versiones de Redis. Se ha solucionado en las versiones 6.2.20, 7.2.11, 7.4.6, 8.0.4 y 8.2.2, publicadas el 3 de octubre de 2025.
Recomendaciones temporales
Como solución temporal hasta que se pueda aplicar un parche, se recomienda evitar la ejecución de scripts Lua mediante la configuración de una lista de control de acceso (ACL) para restringir los comandos EVAL y EVALSHA. También es crucial que solo las identidades de confianza puedan ejecutar scripts de Lua o cualquier otro comando potencialmente riesgoso.
Riesgos asociados
Esta vulnerabilidad permite a un atacante post-autenticación enviar un script Lua malicioso especialmente diseñado para escapar del entorno de pruebas de Lua y ejecutar código nativo arbitrario en el host de Redis. Esto otorga al atacante acceso total al sistema host, lo que le permite exfiltrar, borrar o cifrar datos confidenciales, secuestrar recursos y facilitar el movimiento lateral dentro de los entornos de nube.
Impacto potencial
Aunque no hay evidencia de que la vulnerabilidad haya sido explotada en la práctica, las instancias de Redis son un objetivo lucrativo para los actores de amenazas que buscan realizar ataques de cryptojacking e incorporarlas a una botnet. Al momento de escribir este artículo, hay alrededor de 330.000 instancias de Redis expuestas a Internet, de las cuales unas 60.000 carecen de autenticación.
Conclusión
Wiz afirmó que «con cientos de miles de instancias expuestas en todo el mundo, esta vulnerabilidad representa una amenaza significativa para organizaciones de todos los sectores». La combinación de una implementación generalizada, configuraciones predeterminadas inseguras y la gravedad de la vulnerabilidad crea una necesidad urgente de remediación inmediata.