مهم
اگر از Redis در پروژه‌هاتون استفاده می‌کنید، این آسیب‌پذیری رو جدی بگیرید

CVE-2025-49844 | CVSS 10.0

این آسیب‌پذیری که به اسم RedisRCE هم شناخته میشه، مربوط به یک مشکل Memory Safety از نوع Use-After-Free در اجرای اسکریپت‌های Lua در Redis هست

به زبان ساده، مهاجمِ احراز هویت‌شده می‌تونه با یک اسکریپت Lua دست‌کاری‌شده، در شرایط خاص باعث استفاده از حافظه‌ای بشه که قبلاً آزاد شده؛ موضوعی که می‌تونه در نهایت به اجرای کد دلخواه روی سرور منجر بشه

نکته مهم اینه که داشتن رمز عبور به‌تنهایی برای امن بودن Redis کافی نیست، مخصوصاً اگر دسترسی کاربران به دستورات حساس محدود نشده باشه.

چطور از Redis محافظت کنیم؟

۱. ردیس رو به نسخه‌ای که این آسیب‌پذیری در اون برطرف شده ارتقا بدید.

۲. پورت Redis رو مستقیماً روی اینترنت در دسترس قرار ندید.

۳. احراز هویت رو فعال کنید و به‌جای یک کاربر مشترک، از ACL برای محدود کردن دسترسی هر سرویس استفاده کنید.

۴. دسترسی به اجرای اسکریپت‌های Lua رو فقط به کاربرانی بدید که واقعاً بهش نیاز دارن.

۵. اگر Redis رو با Docker اجرا می‌کنید، پورت‌ها رو بی‌دلیل Publish نکنید و ارتباط با Redis رو به شبکه داخلی و سرویس‌های مجاز محدود کنید.

برای Redis Open Source، نسخه‌های اصلاح‌شده شامل 8.2.2، 8.0.4، 7.4.6، 7.2.11 و نسخه‌های بعدی هر شاخه هستند. برای شاخه‌های قدیمی‌تر و Redis Software، نسخه اصلاح‌شده متفاوت است؛ قبل از ارتقا، جدول رسمی نسخه‌ها رو بررسی کنید.

یک نکته مهم در DevOps:

امنیت دیتابیس فقط به رمز عبور قوی محدود نمیشه؛ نسخه نرم‌افزار، سطح دسترسی کاربران و محدودیت دسترسی شبکه هم به همون اندازه اهمیت دارن.

منبع رسمی:
https://redis.io/blog/security-advisory-cve-2025-49844/

@DevTwitter | <ali sahrayi/>