CVE-2022-24735

Redis disklərdə saxlanılan yaddaşdaxili verilənlər bazasıdır. Lua skriptlərinin icra mühitindəki zəifliklərdən istifadə edərək, 7.0.0 və ya 6.2.7 versiyasından əvvəlki Redis-ə giriş imkanı olan hücumçu, digər Redis istifadəçisinin (potensial olaraq daha yüksək) imtiyazları ilə icra olunacaq Lua kodu inyeksiya edə bilər. Redis-də Lua skriptlərinin icra mühiti, skriptin gələcəkdə eyni və ya fərqli skriptin icrasına təsir edə biləcək qalıcı yan təsirlər yaratmasının qarşısını alan bəzi tədbirlər tətbiq edir. Bu tədbirlərin bir neçə zəifliyi uzun müddətdir ki, ictimaiyyətə məlumdur, lakin Redis təhlükəsizlik modeli istifadəçilər və ya imtiyazlar konsepsiyasını dəstəkləmədiyi üçün onların təhlükəsizliyə heç bir təsiri olmayıb. Redis 6.0-da ACL-lərin tətbiqi ilə birlikdə, bu zəifliklərdən az imtiyazlı istifadəçilər tərəfindən istifadə edilərək, imtiyazlı istifadəçi Lua skriptini icra etdikdə sonradan işə düşəcək Lua kodunun inyeksiya edilməsi mümkündür. Problem Redis 7.0.0 və 6.2.7 versiyalarında aradan qaldırılıb. Əgər Lua skriptindən istifadə edilmirsə, redis-server icra faylını yeniləmədən bu problemi azaltmaq üçün əlavə həll yolu ACL qaydaları vasitəsilə `SCRIPT LOAD` və `EVAL` əmrlərinə girişi bloklamaqdır.