Redis Lua脚本远程代码执行漏洞安全警告

UCloud-202510-001:Redis Lua脚本远程代码执行漏洞安全警告

近日，Redis 官方发布安全更新，修复了 Redis Lua 脚本远程代码执行漏洞（编号：CVE-2025-49844）。

该漏洞存在于 Redis 的 Lua 脚本执行模块中。拥有低权限及以上访问权限的攻击者可通过构造特制的 Lua 脚本，滥用垃圾回收机制，从而触发释放后重用（Use-After-Free）漏洞，最终可能在受影响系统上实现远程代码执行。

鉴于该漏洞影响范围较广，建议用户尽快进行自查并完成修复，以防被恶意利用。

6.2.20 <= Redis < 7.2.11

7.2.11 <= Redis < 7.4.

7.4.6 <= Redis < 8.0.4

8.0.4 <= Redis < 8.2.2

1.正式防护方案

官方已发布安全补丁，请及时更新至以下版本或更高版本以彻底修复该漏洞：

Redis >= 7.2.11

Redis >= 7.4.6

Redis >= 8.0.4

Redis >= 8.2.2

官方补丁下载地址： https://redis.io/downloads/

2.临时缓解措施

在无法立即完成升级的情况下，可采取以下缓解措施降低风险：

- 限制 Redis 的外网访问，仅允许可信主机访问；

- 禁止不必要的 Lua 脚本执行操作；

- 通过访问控制列表（ACL）限制低权限用户执行 Lua 脚本；

- 启用 TLS 加密与身份验证，防止中间人攻击。

https://github.com/redis/redis/security/advisories/GHSA-4789-qfc9-5f9q

https://github.com/redis/redis/commit/d5728cb5795c966c5b5b1e0f0ac576a7e69af539