Kritische Sicherheitslücke in Redis ermöglicht Systemübernahme

Das Security-Unternehmen Sysdig warnt vor einer kritischen Sicherheitslücke im weit verbreiteten In-Memory-Datenspeicher Redis. Die unter der Kennung CVE-2025-49844 geführte Schwachstelle, die von Sicherheitsforschern den Namen “RediShell” erhalten hat, erreicht die höchste CVSS-Bewertung von 10,0 und ermöglicht Angreifern die vollständige Kontrolle über betroffene Systeme.

Die Ursache der Schwachstelle liegt im Lua-Scripting-Subsystem von Redis und besteht bereits seit etwa 13 Jahren im Quellcode. Angreifer können durch speziell präparierte Lua-Skripte den Garbage Collector manipulieren und eine Use-After-Free-Bedingung auslösen. Dadurch gelingt es ihnen, aus der Sandbox des Redis-Interpreters auszubrechen und beliebigen Code mit den Rechten des Host-Systems auszuführen.

Redis-Instanzen werden standardmäßig ohne Authentifizierung ausgeliefert, was viele Systeme angreifbar macht. Nach erfolgreicher Kompromittierung können Angreifer Zugangsdaten entwenden, Malware installieren, sensible Daten exfiltrieren oder sich lateral im Netzwerk bewegen.

Entdeckung bei Pwn2Own

Entdeckt wurde die Schwachstelle von Sicherheitsforschern der Firma Wiz im Rahmen des Pwn2Own-Wettbewerbs, der im Mai 2025 in Berlin stattfand. Redis hat am 3. Oktober 2025 Patches für die betroffenen Versionen veröffentlicht.

Betroffen sind alle Redis-Versionen mit aktivierter Lua-Scripting-Unterstützung, sowohl Open-Source- als auch Enterprise-Editionen. Gepatcht wurden unter anderem:

• Redis OSS/CE/Stack: ab Version 8.2.2, 8.0.4, 7.4.6, 7.2.11 und 6.2.20
• Redis Enterprise: ab Version 7.22.2-12, 7.8.6-207, 7.4.6-272, 7.2.4-138 und 6.4.2-131

Kunden von Redis Cloud wurden bereits automatisch aktualisiert und müssen keine weiteren Schritte unternehmen.

Empfohlene Gegenmaßnahmen

Administratoren sollten umgehend handeln und betroffene Systeme patchen. Als temporäre Schutzmaßnahmen empfiehlt Sysdig:

• Sofortiges Update auf eine gepatchte Version durchführen
• Lua-Scripting deaktivieren, falls nicht zwingend erforderlich
• EVAL- und EVALSHA-Befehle über Access Control Lists (ACLs) einschränken
• Netzwerksegmentierung implementieren, um laterale Bewegungen zu erschweren
• Redis-Dienste ausschließlich mit Nicht-Root-Rechten betreiben
• Vom Internet erreichbare Instanzen sofort vom Netz trennen oder patchen

(lb/Sysdig)