Lỗ hổng nghiêm trọng của Redis (CVE-2025-49844)

Tổng quan

Redis đã phát hành một cập nhật bảo mật quan trọng để vá một lỗ hổng mới được phát hiện (CVE-2025-49844) gây ra mối đe dọa nghiêm trọng cho các máy chủ chạy phiên bản Redis bị ảnh hưởng.
Lỗi này đã được gán một Điểm CVSS v3.1 là 9,9 trên 10, đánh dấu đây là một trong những lỗ hổng nghiêm trọng nhất trong các bản phát hành Redis gần đây.

Sự va chạm

MỘT kẻ tấn công đã được xác thực có thể khai thác lỗ hổng này bằng cách tải lên kịch bản được tạo ra một cách ác ý, có khả năng dẫn đến thực thi mã từ xa (RCE) trên máy chủ Redis.
Khai thác thành công có thể dẫn đến truy cập trái phép, xâm phạm dữ liệu, hoặc thậm chí là một tiếp quản toàn bộ hệ thống.

Phiên bản bị ảnh hưởng

Các phiên bản Redis sau đây bị ảnh hưởng:

• Phần mềm Redis trước:

  • 7.22.2-12

  • 7.8.6-207

  • 7.4.6-272

  • 7.2.4-138

  • 6.4.2-131

• Redis OSS / Phiên bản cộng đồng trước:

  • 8.2.2

  • 8.0.4

  • 7.4.6

  • 7.2.11

• Redis Stack trước:

  • 7.4.0-v7

  • 7.2.0-v19

Giảm thiểu và Thực hành Tốt nhất

Người dùng và quản trị viên Redis là khuyến cáo mạnh mẽ nên cập nhật ngay lập tức lên phiên bản vá lỗi mới nhất.
Nếu không thể nâng cấp, hãy áp dụng các biện pháp phòng ngừa sau:

• Hạn chế quyền truy cập Redis vào mạng nội bộ đáng tin cậy chỉ một.

• Vô hiệu hóa hoặc giám sát việc tải lên tập lệnh cẩn thận.

• Ôn tập nhật ký hệ thống và Redis cho các hoạt động bất thường.

QUAPE bảo vệ khách hàng của chúng tôi như thế nào

Tại QUAPE, an ninh là ưu tiên hàng đầu của chúng tôi.
Để giảm thiểu rủi ro từ việc khai thác bên ngoài, tất cả các cổng Redis bên ngoài đều bị chặn theo mặc định trên cơ sở hạ tầng lưu trữ của chúng tôi.
Dịch vụ Redis chỉ có thể truy cập thông qua mạng nội bộ được bảo mật hoặc thông qua các kết nối được xác thực, giảm đáng kể nguy cơ bị tấn công tiềm ẩn.

Chúng tôi cũng đã xác minh rằng tất cả các phiên bản Redis được QUAPE quản lý đều đã vá và không bị ảnh hưởng bởi lỗ hổng này.

Đối với những khách hàng vận hành máy chủ Redis của riêng mình, chúng tôi đặc biệt khuyên bạn nên áp dụng ngay các bản cập nhật mới nhất.
Nếu bạn cần hỗ trợ xác minh tính bảo mật của môi trường, nhóm kỹ thuật của chúng tôi luôn sẵn sàng trợ giúp.

📘 Thẩm quyền giải quyết:
https://redis.io/blog/security-advisory-cve-2025-49844/