در جدیدترین هشدار امنیتی صادر شده، تیم توسعه‌دهنده Redis آسیب‌پذیری شدیدی را منتشر کرده است که هزاران نمونه از این سرویس محبوب را تهدید می‌کند. این ضعف امنیتی که با شناسه CVE-2025-49844 رصد شده، نوعی Use-After-Free در کد منبع Redis و در بخش اسکریپت‌نویسی Lua است و می‌تواند باعث اجرای کد از راه دور (RCE) روی سیستم قربانی شود.
در بررسی‌های انجام شده در روز صفر، Redis که به‌عنوان یک مخزن داده سریع (in-memory data store) مورد استفاده قرار می‌گیرد و اغلب به عنوان پایگاه داده، کش یا پیام‌رسان به‌کار می‌رود، در حدود ۷۵٪ محیط‌های ابری استفاده می شود و نقش حیاتی در عملکرد سیستم‌های پیچیده دارد. متأسفانه این آسیب‌پذیری در یکی از قابلیت‌های پیش‌فرض Redis یعنی پشتیبانی از اسکریپت‌های Lua رخ می‌دهد — ویژگی‌ای که به طور پیش‌فرض فعال است.
چطور این آسیب‌پذیری کار می‌کند؟
نفوذگرانی که دسترسی احراز هویت‌شده به نمونه Redis دارند، می‌توانند با ارسال یک اسکریپت Lua به‌صورت دستکاری‌شده، از محیط ایزوله Lua فرار کنند، از ضعف Use-After-Free بهره گیرند، و سپس یک شِل معکوس (reverse shell) ایجاد کنند تا کد دلخواه را اجرا نمایند.
پس از موفقیت، مهاجمان امکان استخراج اطلاعات حساس، نصب بدافزار یا ابزار استخراج رمزارز، حرکت جانبی به سایر دستگاه‌ها در شبکه، یا حتی سوءاستفاده از منابع host را خواهند داشت.
به گفته محققان شرکت Wiz که این نقص را در جریان مسابقه Pwn2Own برلین گزارش داده‌اند، این رخنه نقش محوری در کسب دسترسی کامل به سیستم میزبان دارد. آن‌ها این حمله را «RediShell» نامیده‌اند.
گستره تاثیر آسیب پذیری RediShell و آمارهای نگران‌کننده در جهان
محققان Wiz تقریباً ۳۳۰,۰۰۰ نمونه Redis را که در دسترس اینترنت هستند مورد بررسی قرار داده‌اند. از این میان، حداقل ۶۰,۰۰۰ نمونه بدون نیاز به احراز هویت فعال‌اند و به‌راحتی در دسترس مهاجمان قرار دارند. این بخش عظیمی از زیرساخت‌های ابری را در معرض خطر قرار می‌دهد و نشان‌دهنده این است که بسیاری از سازندگان یا مدیران سیستم‌ها به پیکربندی امنیتی صحیح توجه نکرده‌اند.
Redis به همراه تیم Wiz از مدیران سامانه‌ها خواسته‌اند که به‌سرعت نسخه‌های منتشرشده برای رفع این نقص را نصب کنند، به‌ویژه روی نمونه‌هایی که مستقیماً به اینترنت متصل‌اند.
نسخه‌های آسیب‌پذیر و راهنمای کاهش خطر برای سازمان‌ها
آسیب‌پذیری CVE-2025-49844 در تمام نسخه‌هایی از Redis که قابلیت اجرای اسکریپت Lua دارند، وجود دارد. نسخه‌های اصلاح‌شده در شاخه‌های گوناگون شامل موارد زیر هستند:
- شاخه‌های سری ۷.۲، ۷.۴، ۶.۴ و همچنین نسخه‌های بالاتر از Redis OSS/CE و Stack
- نسخه‌هایی که پس از اعمال patch امنیتی ارائه شده‌اند
مدیران باید توجه داشته باشند که تنها به‌روزرسانی به نسخه‌های بدون این نقص کافی نیست، بلکه باید پیکربندی‌های امنیتی مرتبط نیز بازبینی شوند.
برای کاهش ریسک حمله و محافظت از نمونه‌های Redis، اقدامات زیر بسیار حیاتی هستند. این مجموعه اقدامات می‌تواند تا حد زیادی ریسک سوءاستفاده را کاهش دهد و زمان پاسخ به حمله را افزایش دهد:
- اعمال فوری به‌روزرسانی‌ها: نصب نسخه‌های جدیدی که نقص CVE-2025-49844 را اصلاح کرده‌اند.
- فعال‌سازی احراز هویت (authentication): جلوگیری از دسترسی بدون مجوز به نمونه‌های Redis.
- غیرفعال کردن اسکریپت Lua (در صورت امکان): به ویژه اگر این قابلیت برای کاربرد شما ضروری نیست.
- عدم اجرای Redis با کاربر root: استفاده از کاربر غیر ریشه برای راه‌اندازی سرویس Redis.
- فعال‌سازی ثبت وقایع و مانیتورینگ: رصد رفتار مشکوک و فعالیت در سیستم.
- محدود کردن دسترسی شبکه‌ای: تنها به شبکه‌های مجاز اجازه دسترسی بدهید، استفاده از فایروال، VPC و کنترل دسترسی در سطح شبکه.
آسیب‌پذیری Redis تحت عنوان RediShell یکی از جدی‌ترین ضعف‌های امنیتی کشف‌شده اخیر است. ترکیبی از استفاده گسترده Redis در زیرساخت‌های ابری، پیکربندی‌های ناامن پیش‌فرض و قابلیت اجرای اسکریپت Lua باعث شده است که این نقص در سطحی جهانی تهدیدی جدی تلقی شود. نمونه‌هایی که بدون احراز هویت در دسترس هستند فرصتی طلایی برای مهاجمان فراهم می‌کنند.
سازمان‌ها و تیم‌های امنیتی باید این موضوع را جدی گرفته و فورا نسبت به اعمال اصلاحات فنی و بازبینی استراتژی امنیتی زیرساخت‌های خود اقدام کنند.
