CVE-2025-49844

Die Schwachstelle CVE-2025-49844 betrifft Redis und Valkey, wo authentifizierte Benutzer durch speziell präparierte Lua-Skripte den Garbage Collector manipulieren können. Dies führt zu einer Use-After-Free-Schwachstelle, die potenziell die Ausführung von Remote Code ermöglicht. Das Problem ist in allen Redis-Versionen mit Lua-Skripting vorhanden, insbesondere in Redis 8.2.1 und älter. Mit einem CVSS-Score von 9.9 (CRITICAL) und einer EPSS-Wahrscheinlichkeit von 82% für die Ausnutzung ist diese Schwachstelle als extrem kritisch einzustufen. Obwohl sie noch nicht im CISA KEV-Katalog gelistet ist, deutet die hohe EPSS-Rate auf eine erhebliche und wahrscheinliche Bedrohung hin, die umgehende Maßnahmen erfordert. Die Möglichkeit der Remote Code Execution durch authentifizierte Benutzer erhöht das Risiko erheblich. Security-Teams sollten umgehend auf Redis-Version 8.2.2 aktualisieren, um diese Schwachstelle zu beheben. Falls ein sofortiges Patching nicht möglich ist, kann als temporäre Gegenmaßnahme die Ausführung von Lua-Skripten für Benutzer durch ACL-Einschränkungen für die Befehle EVAL und EVALSHA verhindert werden. Eine Priorisierung dieser Maßnahme ist aufgrund der hohen Kritikalität und Exploit-Wahrscheinlichkeit dringend geboten.