CVE-2022-0543

Redis incluye un intérprete de Lua embebido pensado para ejecutarse dentro de un sandbox, de modo que los scripts enviados al servidor no puedan tocar el sistema subyacente. En Debian y Ubuntu, una particularidad del empaquetado dejó la biblioteca de Lua con un sandbox incompleto: el módulo `package` era accesible desde dentro de un script y, a partir de ahí, un atacante puede cargar código nativo arbitrario y escapar por completo del intérprete. Cualquier cliente que pueda alcanzar el puerto de Redis y ejecutar `EVAL` puede convertir un comando del almacén de datos en ejecución remota de código con el usuario de Redis. No se requiere autenticación en las numerosas instancias de Redis que quedan abiertas por defecto.

La exposición es amplia porque Redis rara vez está pensado para exponerse a Internet, pero con frecuencia termina así, enlazado a todas las interfaces sin contraseña detrás de un firewall o una red de contenedores mal configurados. Este error se convirtió en un elemento habitual de campañas oportunistas de botnets y de criptominería precisamente porque es trivial automatizarlo contra una enorme población de instancias no autenticadas. Solo afecta a las compilaciones empaquetadas por la distribución, así que la solución es actualizar el paquete del sistema operativo en lugar de perseguir versiones de Redis del proyecto original. Más allá de aplicar el parche, saca Redis de la Internet pública, exige autenticación y trata cualquier instancia previamente expuesta como potencialmente comprometida.