San RediShell, che svegliò lo spazzino di Lua

Patrono delle cache esposte su Internet senza password, degli script Lua e dei bug che compiono tredici anni.

Vita

All'inizio di ottobre 2025 Redis corresse, e Wiz raccontò, un use-after-free nascosto nell'interprete Lua incorporato nel database: con uno script costruito ad arte si manipolava il garbage collector fino a uscire dalla sandbox ed eseguire codice sul server. Il difetto, portato da Wiz al Pwn2Own di Berlino, esisteva da circa tredici anni e ricevette un CVSS di 10. Serviva un utente autenticato, ma Wiz contò decine di migliaia di istanze esposte che non chiedevano alcuna password.

Preghiera

O San RediShell, che scendi nella spazzatura di Lua e ne risali con una shell, fa' che i nostri Redis chiedano almeno una password. Amen.

Come si festeggia

Si festeggia aggiornando Redis alla 8.2.2 o vietando con le ACL i comandi EVAL ed EVALSHA a chi non ne ha bisogno.

Chi fruga nella spazzatura trova sempre qualcosa.