🇰🇷 한글 설명
Redis 2.8.21 이전과 3.0.2 이전 버전에서 eval 명령어를 통해 원격 공격자가 임의의 Lua 바이트코드를 실행할 수 있는 취약점입니다. 이는 Redis 서버에 접근 가능한 공격자가 서버의 전체 제어권을 얻을 수 있으며, 데이터 탈취, 변조, 삭제 및 시스템 장악이 가능합니다.
💡 쉬운 설명
Redis 데이터베이스의 eval 명령어에 버그가 있어서, 인터넷에 연결된 Redis에 접근할 수 있는 사람이면 누구나 악의적인 코드를 실행시킬 수 있습니다. 이를 통해 저장된 모든 데이터를 빼가거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
Redis before 2.8.21 and 3.x before 3.0.2 allows remote attackers to execute arbitrary Lua bytecode via the eval command.
📍 영향받는 시스템
Redis 2.8.21 이전 버전 및 3.x 3.0.2 이전 버전
⚔️ 공격 벡터
네트워크 접근이 가능한 공격자가 eval 명령어를 통해 악의적인 Lua 스크립트를 Redis에 전송하여 임의 코드 실행
🛡️ 대응 방법
Redis를 2.8.21 이상 또는 3.0.2 이상으로 업그레이드하고, 네트워크 방화벽으로 Redis 포트(6379)에 대한 외부 접근을 제한
🔧 검증 코드
Redis 버전이 2.8.21 미만 또는 3.x 시리즈에서 3.0.2 미만이면 취약함. 예를 들어 redis-server 3.0.0이면 반드시 3.0.2 이상으로 업그레이드 필요
redis-cli --version 2>/dev/null || dpkg -l redis-server 2>/dev/null | grep redis-server || rpm -qa | grep redis