🇰🇷 한글 설명
Redis 6.0 이상의 버전에서 STRALGO LCS 명령어를 사용할 때 발생하는 정수 오버플로 취약점입니다. 이 결함은 힙 메모리를 손상시켜 원격 코드 실행(RCE)으로 이어질 수 있으며, CVE-2021-29477에 대한 불완전한 수정으로 인해 발생했습니다.
💡 쉬운 설명
Redis라는 데이터 저장소 프로그램에서 숫자를 계산하는 과정에 오류가 있어, 해커가 시스템을 마음대로 조종할 수 있는 취약점입니다. 특정 명령어를 잘못 사용하면 컴퓨터의 메모리를 망가뜨려 악성 코드를 실행할 수 있습니다.
🇺🇸 원문 (English)
Redis is an open source (BSD licensed), in-memory data structure store, used as a database, cache, and message broker. An integer overflow bug in Redis version 6.0 or newer, could be exploited using the STRALGO LCS command to corrupt the heap and potentially result with remote code execution. This is a result of an incomplete fix by CVE-2021-29477. The problem is fixed in version 6.2.4 and 6.0.14. An additional workaround to mitigate the problem without patching the redis-server executable is to use ACL configuration to prevent clients from using the STRALGO LCS command. On 64 bit systems which have the fixes of CVE-2021-29477 (6.2.3 or 6.0.13), it is sufficient to make sure that the proto-max-bulk-len config parameter is smaller than 2GB (default is 512MB).
📍 영향받는 시스템
Redis version 6.0 or newer (prior to 6.2.4 and 6.0.14)
⚔️ 공격 벡터
STRALGO LCS 명령어를 이용한 힙 메모리 손상 및 원격 코드 실행
🛡️ 대응 방법
Redis를 6.2.4 또는 6.0.14 버전 이상으로 업데이트하거나, ACL 설정을 통해 STRALGO LCS 명령 사용을 차단하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 패치가 필요한 상태입니다.
redis-server --version | grep -E 'redis-(6\.[0-1][2-3]|6\.2\.[0-3])'