En el entorno tecnológico actual, donde la información y los datos juegan un papel crucial en nuestras vidas, la seguridad de nuestros sistemas y aplicaciones es una preocupación primordial. En este contexto, Redis, siendo una potente herramienta de almacenamiento de datos clave-valor, también puede estar expuesto a vulnerabilidades que podrían comprometer la integridad y confidencialidad de la información.
La vulnerabilidad, identificada como CVE-2022-0543 con severidad Crítica y un puntaje base CVSS de 10 de tipo RCE (ejecución remota de código) lo cual indica que podría tener un impacto devastador en sistemas que la presenten.
La vulnerabilidad se encuentra en el motor de secuencias de comandos de Lua en Redis, desarrollado mediante el lenguaje de programación Lua. El motor debería estar aislado para que los clientes solo interactúen con las API de Redis, sin poder ejecutar código arbitrario en la máquina de Redis. Sin embargo, algunos paquetes de Debian/Ubuntu, la biblioteca Lua se proporciona como una biblioteca dinámica, lo que permite el acceso a la funcionalidad arbitraria de Lua al inicializar el intérprete. Esto permite que atacantes remotos con la capacidad de ejecutar secuencias de comandos de Lua escapen de la zona de pruebas y ejecuten código arbitrario en el host de Redis.
Productos afectados.
Versiones de Redis inferiores a:
- redis/5:5.0.14-1+deb10u1.
- redis/5:5.0.3-4.
- redis/5:6.0.15-1.
Solución
Esta vulnerabilidad está corregida en:
- redis/5:6.0.16-1+deb11u2.
- redis/5:5.0.14-1+deb10u2.
- redis/5:6.0.16-2.
- redis/5:7.0~rc2-2 Redis server versiones.
Recomendación
Se recomienda a los usuarios actualizar a las versiones más recientes para proteger sus sistemas contra estas amenazas.
Referencias
https://github.com/vulhub/vulhub/blob/master/redis/CVE-2022-0543/README.md