Redis Lua Use-After-Free may lead to remote code execution
100Vexday Risk Score
Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.
ssvc Actcvss 10epss 82%
da publicação à arma0 dias
Publicada no NVD3 de out.
1ª PoC13 de abr.
VulnCheck+81d
probabilidade de exploração
82%top 1% das CVEs
exploração observada
simVulnCheck
16 exploit(s) público(s)
O que os fabricantes declaram (VEX)
Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.
Red Hatdocumento VEX ↗
Corrigido
16 produtos (298 componentes)
Red Hat Enterprise Linux AppStream (v. 9) · Red Hat Enterprise Linux AppStream EUS (v.9.4) · Red Hat Enterprise Linux AppStream (v. 10) · Red Hat Enterprise Linux AppStream E4S (v.9.0) · Red Hat Enterprise Linux AppStream E4S (v.9.2) · e outros 11
Não afetado
17 produtos (261 componentes) — porque o código vulnerável não está presente no produto
Red Hat OpenStack Platform 13 (Queens) · Red Hat OpenShift GitOps 1.17 · Red Hat OpenShift GitOps 1.18 · Red Hat Ansible Automation Platform 2 · Red Hat OpenShift GitOps 1.16 · e outros 12
Redis is an open source, in-memory database that persists on disk. Versions 8.2.1 and below allow an authenticated user to use a specially crafted Lua script to manipulate the garbage collector, trigger a use-after-free and potentially lead to remote code execution. The problem exists in all versions of Redis with Lua scripting. This issue is fixed in version 8.2.2. To workaround this issue without patching the redis-server executable is to prevent users from executing Lua scripts. This can be done using ACL to restrict EVAL and EVALSHA commands.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
redis · redisPoCs públicas encontradas — 16
githubgithub.com/saneki/cve-2025-49844★ 25githubgithub.com/ksnnd32/redis_exploit★ 1githubgithub.com/Zain3311/CVE-2025-49844★ 1githubgithub.com/Cilectiy/CVE-2025-49844★ 1githubgithub.com/open-flaw/CVE-2025-49844★ 0githubgithub.com/zbyszkok/CVE-2025-49844-RediShell-AI-made-Revshell★ 0githubgithub.com/0xBlackash/CVE-2025-49844★ 0githubgithub.com/cc3305/CVE-2025-49844★ 0vulncheckvulncheck.com/xdb/33a716ddae72não verificadovulncheckvulncheck.com/xdb/dfd27944e627não verificadovulncheckvulncheck.com/xdb/307176e060ddnão verificadovulncheckvulncheck.com/xdb/ec5b732729fenão verificadovulncheckvulncheck.com/xdb/d8be47ccfd47não verificadovulncheckvulncheck.com/xdb/f2e2e0f8c893não verificadovulncheckvulncheck.com/xdb/8106ff045c2bnão verificadocve_referencegithub.com/lastvocher/redis-CVE-2025-49844não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
Referências
https://github.com/lastvocher/redis-CVE-2025-49844https://github.com/redis/redis/commit/d5728cb5795c966c5b5b1e0f0ac576a7e69af539https://github.com/redis/redis/releases/tag/8.2.2https://github.com/redis/redis/security/advisories/GHSA-4789-qfc9-5f9qhttp://www.openwall.com/lists/oss-security/2025/10/07/2