Une vulnérabilité critique impactant Redis, identifiée par la référence CVE-2025-49844 et surnommée « RediShell », vient de voir le jour. Elle obtient un score CVSS v3.1 de 10.
Il convient de porter une attention particulière à cette CVE-2025-49844, car plusieurs preuves de concept sont disponibles publiquement, offrant un fort potentiel d’exploitation par des acteurs malveillants.
Le vecteur initial de la vulnérabilité Redis
La vulnérabilité CVE-2025-49844 permet à un attaquant d’exécuter du code sur le système via l’injection d’un script Lua.
Les détails techniques de la vulnérabilité Redis
Une vulnérabilité de type Use-After-Free existe dans le code source de Redis depuis plus de 13 ans. Par défaut, il est possible d’envoyer des scripts Lua au serveur Redis, qui sont exécutés en sandbox.
Mais sous certaines conditions, il est possible de faire sortir le script de cette sandbox, et exécuter du code directement sur la machine.
La modélisation de l'attaque avec MITRE ATT&CK
MITRE ATT&CK
- T1190 : Content Injection
- T1190 : Exploit Public-Facing Application
- T1059 : Command and Scripting Interpreter
Les moyens de protections avec Stormshield Network Security face à la vulnérabilité Redis
Protection face à la CVE-2025-49844
Les firewalls Stormshield Network Security (SNS) vous protègent grâce à une signature de protection dédiée.
- tcp:client:port:65 : Exploitation d'une CVE de type use-after-free dans Redis (RediShell CVE-2025-49844)
Indice de confiance de la protection proposée par Stormshield |
Indice de confiance de l’absence de faux positif |
Recommandations face à la vulnérabilité Redis
Il est ainsi fortement recommandé d’appliquer les dernières mises à jour de sécurité, en mettant à jour Redis vers l’une des versions suivantes :
- 6.4.2-131 ou supérieur
- 7.2.4-138 ou supérieur
- 7.4.6-272 ou supérieur
- 7.8.6-207 ou supérieur
- 7.22.2-12 ou supérieur
Vous pouvez également mettre à jour Redis OSS/CE vers l’une des versions suivantes :
- 7.2.11 ou supérieur
- 7.4.6 ou supérieur
- 8.0.4 ou supérieur
- 8.2.2 ou supérieur
Ou Redis Stack vers l’une des versions suivantes :
- 7.2.0-v19 ou supérieur
- 7.4.0-v7 ou supérieur
Il est également recommandé de restreindre l’usage des commandes EVAL et EVALSHA si vous n’en n’avez pas l’usage :
redis-cli ACL SETUSER {user} -EVAL -EVALSHA
redis-cli CONFIG REWRITE
