CVE-2022-24735

Redis es una base de datos en memoria que persiste en el disco. Aprovechando las debilidades del entorno de ejecución de scripts Lua, un atacante con acceso a Redis versiones anteriores a 7.0.0 o 6.2.7 puede inyectar código Lua que será ejecutado con privilegios (potencialmente superiores) de otro usuario de Redis. El entorno de ejecución de scripts Lua en Redis proporciona algunas medidas que impiden que un script cree efectos secundarios que persistan y puedan afectar a la ejecución del mismo, o de un script diferente, en un momento posterior. Varios puntos débiles de estas medidas son conocidos públicamente desde hace mucho tiempo, pero no presentaban ningún impacto en la seguridad, ya que el modelo de seguridad de Redis no respaldaba el concepto de usuarios o privilegios. Con la introducción de ACLs en Redis versión 6.0, estas debilidades pueden ser explotadas por un usuario con menos privilegios para inyectar código Lua que será ejecutado en un momento posterior, cuando un usuario privilegiado ejecute un script Lua. El problema ha sido corregido en Redis versiones 7.0.0 y 6.2.7. Una medida adicional para mitigar este problema sin necesidad de parchear el ejecutable del servidor Redis, si no son usados scripts Lua, es bloquear el acceso a los comandos "SCRIPT LOAD" y "EVAL" usando reglas ACL

A flaw was found in the Redis database where Lua scripts can be manipulated to overcome ACL rules. This flaw allows an attacker with access to Redis to inject Lua code that executes the potentially higher privileges of another Redis user.