CVE-2022-24735

Versões do Redis anteriores à 7.0.0 e à 6.2.7

O problema está relacionado a vulnerabilidades no ambiente de execução de scripts Lua do Redis, que podem ser exploradas por um usuário com privilégios reduzidos para injetar código Lua que será executado com privilégios potencialmente superiores de outro usuário do Redis. Isso é possível devido à introdução de ACLs no Redis 6.0. O ambiente de execução de scripts Lua oferece medidas para prevenir efeitos colaterais, mas várias vulnerabilidades são de conhecimento público há muito tempo. Essas vulnerabilidades agora podem ser exploradas para injetar código Lua que será executado posteriormente, quando um usuário com privilégios executar um script Lua.

Para versões do Redis anteriores à 7.0.0, atualize para a versão 7.0.0 ou posterior.

Para versões do Redis anteriores à 6.2.7, atualize para a versão 6.2.7 ou posterior.

Como solução temporária, se scripts Lua não estiverem sendo usados, considere bloquear o acesso aos comandos SCRIPT LOAD e EVAL usando regras de ACL.