🇰🇷 한글 설명
Redis 4.0.2의 cluster.c 파일에 있는 clusterLoadConfig 함수에서 배열 인덱스 검증 부재로 인해 메모리 범위를 벗어난 접근이 발생합니다. 제한된 시스템 접근 권한을 가진 공격자가 악의적인 설정 파일을 로드하여 애플리케이션 크래시(DoS) 또는 메모리 손상을 일으킬 수 있습니다.
💡 쉬운 설명
Redis 서버의 설정 파일 파싱 부분에 문제가 있어서, 특수하게 조작된 파일로 서버를 다운시킬 수 있습니다. 로컬 접근 권한이 필요합니다.
🇺🇸 원문 (English)
The clusterLoadConfig function in cluster.c in Redis 4.0.2 allows attackers to cause a denial of service (out-of-bounds array index and application crash) or possibly have unspecified other impact by leveraging "limited access to the machine."
📍 영향받는 시스템
Redis 4.0.2 (클러스터 모드 사용 시)
⚔️ 공격 벡터
클러스터 설정 파일(nodes.conf)에 악의적인 노드 정보 삽입 후 Redis 서버 재시작
🛡️ 대응 방법
Redis 4.0.3 이상으로 업그레이드
🔧 검증 코드
4.0.2보다 낮은 버전이면 패치 필요, 4.0.3 이상이면 안전
redis-server --version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'