Wat is Redis?
Hoe werkt dat precies? Doordat eerder opgevraagde pagina’s direct uit de cache worden geladen, hoeft er minder data opnieuw verwerkt te worden. Redis is een veelgebruikte component binnen Magento. Daardoor kan de Redis-kwetsbaarheid CVE-2025-49844 ook invloed hebben op Magento-webshops.
Redis en Magento
De caching-oplossing van Redis wordt officieel ondersteund door Magento. Redis wordt niet automatisch geïnstalleerd. Webshopeigenaren of hun webshopbureau moeten dit zelf integreren binnen de Magento-omgeving. Waarmee helpt Redis precies?
- Sessie-opslag in de backend
- Cache-opslag in de backend
- Full page cache in de backend
Wat is de kwetsbaarheid van Redis CVE-2025-49844?
Aanvallers kunnen specifieke scripts versturen om keys, tokens of inloggegevens te stelen. Ook was het mogelijk om malware te installeren en gegevens uit de Redis-database te exfiltreren. Echter, alleen geauthenticeerde gebruikers kunnen deze kwetsbaarheid misbruiken. Het is ook mogelijk om deze aanval op afstand uit te voeren.
Beheer je Redis zelf? Update naar de laatste versie om de kwetsbaarheid te verhelpen.
Het NCSC geeft de kwetsbaarheid een normale prioriteit
Het NCSC (Nationaal Cyber Security Centrum) heeft een beveiligingsadvies geschreven.
Hierin geven zij aan dat de kwetsbaarheid een normale prioriteit heeft. Zij melden ook dat onderzoekers Proof-of-Concept-code hebben vrijgegeven waarin de kwetsbaarheid zichtbaar is. Via deze link kun je de code bekijken.
Is de kwetsbaarheid van Redis CVE-2025-49844 al verholpen?
Om de kwetsbaarheid te verhelpen, moet je Redis dus updaten naar de laatste versie. Redis meldt dat zij momenteel geen bewijs hebben van schade. Wel raden ze iedere gebruiker aan om hun omgeving te controleren. Waar moet je precies naar kijken? Ze adviseren de volgende punten:
- Een onbekende bron heeft tot de database
- Onbekend netwerk verkeer in de database
- Onbekend gebruik van scriptcommando’s
- Aanwezigheid van onbekende scripts in de database
- Afwijkende crashes op de server, vooral afkomstig uit de Lua-engine
- Onbekende commando uitvoering door een redis-server-gebruiker
- Onbekend uitgaand netwerkverkeer vanuit de database
- Onbekende wijzigingen in de bestandsystemen.
Hoe heeft 3WebApps dit opgelost?
Webshops onder ons agency maken ook gebruik van Redis. Zij hebben geen last gehad van de kwetsbaarheid. Wij hebben vooraf maatregelen genomen waardoor alle webshops zijn beschermd. Wil je meer weten over onze security propositie? Lees de volgende pagina.
“Redis is a registered trademark of Redis Ltd. Any rights therein are reserved to Redis Ltd.”