RediShell: Critical remote code execution vulnerability in Redis
7 months ago
- #Redis
- #RCE
- #Cybersecurity
- Wiz Research发现Redis存在一个关键远程代码执行漏洞CVE-2025-49844（#RediShell），CVSS评分高达10.0。
- 该漏洞属于释放后使用（UAF）类型，允许已认证攻击者通过恶意Lua脚本执行任意代码。
- Redis在约75%的云环境中部署，潜在影响范围极广。
- 目前约有33万个Redis实例暴露在公网，其中6万个未启用认证机制。
- 57%的云环境通过容器镜像部署Redis，且往往缺乏适当的安全加固措施。
- 攻击链包括初始漏洞利用、沙箱逃逸、系统完全控制及横向移动四个阶段。
- Redis已于2025年10月3日发布修复版本，建议所有组织立即升级。
- 防护措施建议：启用Redis认证、禁用非必要命令、实施访问限制策略。
- Wiz提供检测工具，可识别客户环境中受影响的Redis实例及错误配置。
- 该漏洞事件凸显了云环境中开源技术安全加固的重要性。