NoSQLデータベース「Redis」に複数脆弱性 - 「クリティカル」も

NoSQLデータベース「Redis」に複数の脆弱性が明らかとなった。影響が大きく、「クリティカル（Critical）」とされる脆弱性も含まれており、アップデートが提供されている。

「Luaスクリプト」の処理に関連し、4件の脆弱性が明らかとなったもの。なかでも、解放後のメモリを使用するいわゆる「Use After Free」の脆弱性「CVE-2025-49844」については影響が大きいという。

認証済みのユーザーが細工したスクリプトを用いてリモートからサーバ上でコードを実行し、制御を奪うことが可能で、「Luaスクリプト」の機能を有効化している「Redisインスタンス」全体に影響が及ぶという。

さらに細工された「Lua」スクリプトによって整数オーバーフローが生じる脆弱性「CVE-2025-46817」、域外メモリの読み込みが可能となる「CVE-2025-46819」「Lua」オブジェクトを操作できる「CVE-2025-46818」などもあわせて確認された。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを見ると、「CVE-2025-49844」が「9.9」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とされる。

「CVE-2025-46817」がCVSS基本値「7.0」と続いており、重要度は「高（High）」とレーティングした。のこる2件は「中（Medium）」とされる。

開発グループでは、2025年10月3日にアップデートとなる「Redis 8.2.2」「同8.0.4」「同7.4.6」「同7.2.11」「同6.2.20」を公開。新機能やバグの修正などとともにこれら4件の脆弱性を解消した。

また回避策として、「Luaスクリプト」の実行を禁止することなどもアナウンスされている。

（Security NEXT - 2025/10/06 ）ツイート