🇰🇷 한글 설명
Redis에서 Lua 스크립트를 실행할 때 cjson 라이브러리에서 힙 오버플로우가 발생할 수 있는 취약점입니다. 이로 인해 힙 메모리 손상이 발생하며, 공격자가 원격 코드 실행(RCE)을 수행할 가능성이 있습니다. 이 문제는 Lua 스크립팅을 지원하는 Redis 2.6 버전부터 영향을 미칩니다.
💡 쉬운 설명
Redis 데이터베이스에 특수하게 제작된 명령어를 보내면 메모리 오류를 일으켜 해커가 컴퓨터를 조종할 수 있는 문제입니다. 다만, 이 공격을 하려면 먼저 시스템에 로그인할 수 있는 권한이 있어야 합니다.
🇺🇸 원문 (English)
Redis is an in-memory database that persists on disk. A specially crafted Lua script executing in Redis can trigger a heap overflow in the cjson library, and result with heap corruption and potentially remote code execution. The problem exists in all versions of Redis with Lua scripting support, starting from 2.6, and affects only authenticated and authorized users. The problem is fixed in versions 7.0.12, 6.2.13, and 6.0.20.
📍 영향받는 시스템
Redis 2.6 이상 버전 중 7.0.12, 6.2.13, 6.0.20 미만 버전
⚔️ 공격 벡터
인증된 사용자가 특수하게 조작된 Lua 스크립트를 Redis에서 실행하여 공격
🛡️ 대응 방법
Redis를 최신 보안 패치 버전(7.0.12, 6.2.13, 6.0.20 이상)으로 업데이트
🔧 검증 코드
명령어 실행 결과로 취약점이 해결된 버전 번호가 출력되면 안전한 상태입니다.
redis-server --version | grep -E 'v(7\.0\.1[2-9]|6\.2\.1[3-9]|6\.0\.2[0-9])'