CVE-2022-0543

O Redis embute um interpretador Lua que deveria rodar dentro de uma sandbox, de modo que scripts enviados ao servidor não consigam tocar no sistema subjacente. No Debian e no Ubuntu, uma peculiaridade de empacotamento deixou a biblioteca Lua com a sandbox incompleta: o módulo `package` ficava acessível de dentro de um script e, a partir dele, um atacante pode carregar código nativo arbitrário e escapar por completo do interpretador. Qualquer cliente que consiga alcançar a porta do Redis e executar `EVAL` pode transformar um comando de armazenamento de dados em execução remota de código como o usuário do Redis. Nenhuma autenticação é exigida nas muitas instâncias de Redis deixadas abertas por padrão.

A exposição é grande porque o Redis raramente é voltado para a internet de forma intencional, mas com frequência acaba ficando assim, vinculado a todas as interfaces sem senha, atrás de um firewall ou rede de contêiner mal configurados. Esse bug se tornou um pilar de campanhas oportunistas de botnet e criptomineração justamente porque é trivial criar scripts contra uma enorme população de instâncias não autenticadas. Ele afeta apenas os builds empacotados pela distribuição, então a correção é atualizar o pacote do sistema operacional em vez de perseguir as versões upstream do Redis. Além de aplicar o patch, tire o Redis da internet pública, exija autenticação e trate qualquer instância anteriormente exposta como potencialmente comprometida.