أصلحت ديبيان في أكتوبر 2025 أربع ثغرات في محرك سكربتات Lua المشترك بين Redis والمشروع المتفرع عنه Valkey: النشرة DSA-6020-1 للحزمة redis في 8 أكتوبر، ثم DSA-6022-1 للحزمة valkey في اليوم التالي. أخطرها CVE-2025-49844، وهي ثغرة استخدام بعد التحرير (use-after-free) قد تسمح لعميل متصل بتنفيذ تعليمات برمجية على الخادم. وكل حزم Redis وValkey الأحدث التي صدرت بعد ذلك تتضمن هذه الإصلاحات أيضًا.
لمحة سريعة
| البند | التفاصيل |
|---|---|
| الحزم المصدرية | redis (ديبيان 12 و13)، valkey (ديبيان 13) |
| الإصدارات المُصلَحة | redis 5:7.0.15-1~deb12u6 (bookworm)، redis 5:8.0.2-3+deb13u1 (trixie)، valkey 8.1.1+dfsg1-3+deb13u1 (trixie) |
| النشرات | DSA-6020-1 (8 أكتوبر 2025)، DSA-6022-1 (9 أكتوبر 2025)، DLA-4325-1 لديبيان 11 (9 أكتوبر 2025) |
| الثغرات | CVE-2025-49844 وCVE-2025-46817 وCVE-2025-46818 وCVE-2025-46819 |
| الخطورة | حرجة (تصنّف Redis الثغرة CVE-2025-49844 حرجة بتقييم CVSS 3.1 10.0) |
| الاستغلال الفعلي | غير مدرجة في CISA KEV (30 أكتوبر 2026)، ويذكر سجل CISA وجود إثبات مفهوم منشور |
ما هي الثغرات
تصف ديبيان المشكلات بأنها عدة ثغرات في واجهة سكربتات Lua قد تؤدي إلى تنفيذ تعليمات برمجية عشوائية أو حجب الخدمة. وكلها تتطلب عميلًا مسموحًا له بتشغيل سكربتات Lua عبر أوامر مثل EVAL:
- CVE-2025-49844: سكربت مصمم بعناية يمكنه التلاعب بجامع المهملات وإحداث استخدام بعد التحرير، وقد يصل إلى تنفيذ تعليمات برمجية عن بُعد. تصنّفها نشرة Redis رقم GHSA-4789-qfc9-5f9q حرجة، ويحمل سجل CVE تقييم CVSS 3.1 10.0 بينما يقيّمها NVD بدرجة 9.9، أما نشرة Valkey فتصنّفها عالية.
- CVE-2025-46817 (7.0): فيض في الأعداد الصحيحة في أوامر مكتبة Lua قد يؤدي إلى تنفيذ تعليمات برمجية.
- CVE-2025-46818 (6.0): يستطيع سكربت التلاعب بكائنات Lua وتشغيل تعليمات برمجية في سياق مستخدم آخر.
- CVE-2025-46819 (6.3): قراءة خارج حدود الذاكرة قد توقف الخادم.
تستحق كلمة "مصادَق" الواردة في هذه السجلات وقفة. ففي Redis لا يملك المستخدم الافتراضي كلمة مرور ما لم تضبطها، وكما توضح وثائق ACL في Redis تُصادَق الاتصالات الجديدة عندئذ تلقائيًا بهذا المستخدم. أي أن كل من يصل إلى المنفذ في خادم بلا كلمة مرور يُعدّ مصادَقًا.
هل أنت متأثر؟
dpkg -l 'redis*' 'valkey*' | grep '^ii'
apt policy redis-server # Debian 12 and 13
apt policy valkey-server # Debian 13قارن سطر Installed بالإصدارات المُصلَحة أعلاه، وأي إصدار أحدث من ديبيان يتضمن الإصلاح كذلك. ثم تحقق ممن يستطيع الاتصال:
sudo ss -ltnp | grep -E 'redis|valkey'
redis-cli ACL LISTإذا كان الخادم يستمع على 0.0.0.0 أو *، أو ظهر السطر user default on nopass، فالمخاطرة أعلى مما ينبغي.
طريقة التحديث
sudo apt update
sudo apt upgradeأو حدّث هذه الحزم وحدها:
sudo apt install --only-upgrade redis-server redis-tools # Redis
sudo apt install --only-upgrade valkey-server valkey-tools # Valkey on Debian 13حصلت ديبيان 11 (bullseye) على الإصلاح عبر النشرة DLA-4325-1 (الإصدار 5:6.0.16-1+deb11u8)، لكن فترة دعمها طويل الأمد انتهت في 31 أغسطس 2026، فلن تصلها إصلاحات Redis اللاحقة؛ لذا رقِّ تلك الخوادم.
إعادة تشغيل الخدمة أم الخادم؟
لا حاجة لإعادة تشغيل الخادم، لكن يجب استبدال عملية الخدمة القديمة. أعد تشغيل الخدمة وتأكد من عودتها:
sudo systemctl restart redis-server # or: valkey-server
systemctl show -p ActiveEnterTimestamp redis-serverوإن كانت لديك نسخ تُدار بالوحدات القالبية (redis-server@name أو valkey-server@name) فأعد تشغيل كل واحدة منها. وخطط لتوقيت إعادة التشغيل، فالبيانات المحفوظة في الذاكرة فقط تضيع ما لم يكن الحفظ الدائم (persistence) مفعّلًا.
تقليل الانكشاف
تقدم نشرة Redis حلًا مؤقتًا للخوادم التي لا يمكن تحديثها فورًا: منع المستخدمين من تشغيل سكربتات Lua بتقييد عائلتي الأوامر EVAL وFUNCTION عبر ACL، مثلًا ACL SETUSER appuser -@scripting. لكن تحقق أولًا من أن تطبيقك لا يعتمد على السكربتات، فكثير من مكتبات الطوابير والأقفال يعتمد عليها. وبمعزل عن هذه الثغرة، اربط Redis بالعنوان المحلي أو بشبكة خاصة، واضبط كلمة مرور أو مستخدمي ACL، وأغلق المنفذ بجدار الحماية.
المصادر
- security-tracker.debian.org/tracker/DSA-6020-1
- debian.org/security/2025/dsa-6020
- lists.debian.org/debian-security-announce/2025/msg00186.html
- security-tracker.debian.org/tracker/DSA-6022-1
- debian.org/security/2025/dsa-6022
- lists.debian.org/debian-security-announce/2025/msg00188.html
- security-tracker.debian.org/tracker/DLA-4325-1
- lists.debian.org/debian-lts-announce/2025/10/msg00005.html
- github.com/redis/redis/security/advisories/GHSA-4789-qfc9-5f9q
- github.com/redis/redis/security/advisories/GHSA-m8fj-85cg-7vhp
- github.com/valkey-io/valkey/security/advisories/GHSA-9rfg-jx7v-52p6
- cve.org/CVERecord?id=CVE-2025-49844
- nvd.nist.gov/vuln/detail/CVE-2025-49844
- cve.org/CVERecord?id=CVE-2025-46817
- cve.org/CVERecord?id=CVE-2025-46818
- cve.org/CVERecord?id=CVE-2025-46819
- redis.io/docs/latest/operate/oss_and_stack/management/security/acl
- packages.debian.org/source/trixie/valkey
- cisa.gov/known-exploited-vulnerabilities-catalog
Comments
0 total · 0 threads