Redis เตือนช่องโหว่ความรุนแรงสูงสุด ควรแพตช์ทันที

ทีมความปลอดภัย Redis ออกแพตช์แก้ไขช่องโหว่ระดับ Critical ที่อาจทำให้ผู้โจมตีควบคุมระบบจากระยะไกลได้ โดยพบ instance ที่เสี่ยงหลายหมื่นเครื่องบนอินเทอร์เน็ต

Redis ได้ปล่อยอัปเดตความปลอดภัยเพื่อแก้ไขช่องโหว่ CVE-2025-49844 ที่มีคะแนนความรุนแรง CVSS สูงสุดที่ 10.0 ซึ่งเป็นปัญหา use-after-free ที่ฝังอยู่ในซอร์สโค้ดของ Redis มาถึง 13 ปี ช่องโหว่นี้สามารถถูกโจมตีผ่าน Lua script ที่ถูกออกแบบมาเป็นพิเศษ โดยฟีเจอร์ Lua scripting เป็นค่าเริ่มต้นที่ถูกเปิดใช้งานอยู่แล้ว ทำให้ผู้โจมตีที่มีสิทธิ์เข้าถึงระบบสามารถหลบหนีจาก Lua sandbox สร้าง reverse shell และรันคำสั่งจากระยะไกลบนเซิร์ฟเวอร์ Redis เป้าหมาย

นักวิจัยจาก Wiz ที่ค้นพบช่องโหว่นี้ในงาน Pwn2Own Berlin เมื่อเดือนพฤษภาคม 2025 และตั้งชื่อว่า “RediShell” เปิดเผยว่าหลังจากยึดครอง Redis host ได้สำเร็จ ผู้โจมตีสามารถขโมย credentials, ติดตั้งมัลแวร์หรือเครื่องมือขุด cryptocurrency, ดึงข้อมูลสำคัญจาก Redis, เคลื่อนที่ไปยังระบบอื่นภายในเครือข่ายเหยื่อ หรือใช้ข้อมูลที่ขโมยมาเพื่อเข้าถึงบริการคลาวด์อื่นๆ แม้ว่าการโจมตีจะต้องมีการยืนยันตัวตนก่อน แต่ทาง Wiz พบอินสแตนซ์ Redis ที่เปิดเผยบนอินเทอร์เน็ตประมาณ 330,000 เครื่อง โดยมีอย่างน้อย 60,000 เครื่องที่ไม่ต้องการการยืนยันตัวตนใดๆ

Redis และ Wiz เรียกร้องให้ผู้ดูแลระบบติดตั้งอัปเดตความปลอดภัยที่ออกเมื่อวันศุกร์ที่ผ่านมาโดยทันที โดยให้ความสำคัญกับอินสแตนซ์ที่เปิดเผยสู่อินเทอร์เน็ตเป็นอันดับแรก เวอร์ชันที่แก้ไขแล้วได้แก่:

• Redis Software: 7.22.2-12, 7.8.6-207, 7.4.6-272, 7.2.4-138, 6.4.2-131 ขึ้นไป
• Redis OSS/CE: 8.2.2, 8.0.4, 7.4.6, 7.2.11 ขึ้นไป
• Redis Stack: 7.4.0-v7, 7.2.0-v19 ขึ้นไป

นอกจากการอัปเดตแล้ว ผู้ดูแลระบบควรเพิ่มมาตรการรักษาความปลอดภัยเพิ่มเติม เช่น เปิดใช้งาน authentication, ปิดการใช้งาน Lua scripting และคำสั่งที่ไม่จำเป็น, รัน Redis ด้วยบัญชีที่ไม่ใช่ root, เปิด logging และ monitoring, จำกัดการเข้าถึงเฉพาะเครือข่ายที่ได้รับอนุญาต และใช้ firewall หรือ VPCs ในการควบคุมการเข้าถึงระดับเครือข่าย Redis เป็นเป้าหมายบ่อยครั้งของกลุ่มแฮกเกอร์ที่ใช้บอทเน็ตติดตั้งมัลแวร์และเครื่องมือขุด cryptocurrency เช่น P2PInfect, Redigo, HeadCrab และ Migo ที่มักมุ่งเป้าไปยังเซิร์ฟเวอร์ที่ไม่มีการป้องกันหรือยังไม่ได้แพตช์

ที่มา: https://www.bleepingcomputer.com/news/security/redis-warns-of-max-severity-flaw-impacting-thousands-of-instances/