🇰🇷 한글 설명
Redis 6.0 이상의 버전에서 STRALGO LCS 명령어를 사용할 때 발생하는 정수 오버플로 취약점입니다. 이 취약점을 악용하면 힙 메모리를 손상시켜 원격 코드 실행(RCE)이 가능할 수 있습니다.
💡 쉬운 설명
Redis라는 데이터 저장소 프로그램에서 숫자를 계산하는 과정에 오류가 있어 발생한 문제입니다. 해커가 이 오류를 이용해 컴퓨터에 몰래 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
Redis is an open source (BSD licensed), in-memory data structure store, used as a database, cache, and message broker. An integer overflow bug in Redis version 6.0 or newer could be exploited using the `STRALGO LCS` command to corrupt the heap and potentially result with remote code execution. The problem is fixed in version 6.2.3 and 6.0.13. An additional workaround to mitigate the problem without patching the redis-server executable is to use ACL configuration to prevent clients from using the `STRALGO LCS` command.
📍 영향받는 시스템
Redis version 6.0 or newer (fixed in 6.2.3 and 6.0.13)
⚔️ 공격 벡터
STRALGO LCS 명령어를 이용한 힙 메모리 손상 및 원격 코드 실행
🛡️ 대응 방법
Redis를 6.2.3 또는 6.0.13 이상 버전으로 업데이트하거나, ACL 설정을 통해 STRALGO LCS 명령어 사용을 차단하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위(6.0.x ~ 6.5.x 등)가 나타나면 업데이트가 필요합니다.
redis-server --version | grep -E 'v6\.[0-5]\.'