⬇ Scarica il santino: ·
San RediShell, che svegliò lo spazzino di Lua
Patrono delle cache esposte su Internet senza password, degli script Lua e dei bug che compiono tredici anni.
Vita
All'inizio di ottobre 2025 Redis corresse, e Wiz raccontò, un use-after-free nascosto nell'interprete Lua incorporato nel database: con uno script costruito ad arte si manipolava il garbage collector fino a uscire dalla sandbox ed eseguire codice sul server. Il difetto, portato da Wiz al Pwn2Own di Berlino, esisteva da circa tredici anni e ricevette un CVSS di 10. Serviva un utente autenticato, ma Wiz contò decine di migliaia di istanze esposte che non chiedevano alcuna password.
Preghiera
O San RediShell, che scendi nella spazzatura di Lua e ne risali con una shell, fa' che i nostri Redis chiedano almeno una password. Amen.
Come si festeggia
Si festeggia aggiornando Redis alla 8.2.2 o vietando con le ACL i comandi EVAL ed EVALSHA a chi non ne ha bisogno.
Chi fruga nella spazzatura trova sempre qualcosa.