🇰🇷 한글 설명
Redis 6.2 미만 버전(6.2.3 이전)에서 발생하는 정수 오버플로 취약점입니다. 이 취약점을 악용하면 힙 메모리를 손상시켜 원격 코드 실행(RCE)이 가능할 수 있습니다. Redis 6.0 및 이전 버전은 이 문제의 직접적인 영향을 받지 않습니다.
💡 쉬운 설명
데이터를 저장하는 Redis 프로그램의 계산 오류를 이용해 해커가 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 특정 설정값을 조작하여 메모리 공간을 망가뜨리는 방식으로 공격이 이루어집니다.
🇺🇸 원문 (English)
Redis is an open source (BSD licensed), in-memory data structure store, used as a database, cache, and message broker. An integer overflow bug in Redis 6.2 before 6.2.3 could be exploited to corrupt the heap and potentially result with remote code execution. Redis 6.0 and earlier are not directly affected by this issue. The problem is fixed in version 6.2.3. An additional workaround to mitigate the problem without patching the `redis-server` executable is to prevent users from modifying the `set-max-intset-entries` configuration parameter. This can be done using ACL to restrict unprivileged users from using the `CONFIG SET` command.
📍 영향받는 시스템
Redis 6.2 버전 (6.2.3 미만 버전)
⚔️ 공격 벡터
정수 오버플로를 유발하는 설정을 통해 힙 메모리를 손상시켜 원격 코드 실행
🛡️ 대응 방법
Redis를 6.2.3 버전 이상으로 업데이트하거나, ACL을 통해 일반 사용자의 CONFIG SET 명령 사용을 제한하십시오.
🔧 검증 코드
명령어 결과에 6.2.0부터 6.2.2 사이의 버전이 출력되면 취약한 버전이 설치된 것입니다.
redis-server --version | grep -E '6.2\.[0-2]'