🇰🇷 한글 설명
Redis는 디스크에 데이터를 저장하는 인메모리 데이터베이스입니다. 인증된 사용자가 특수하게 제작된 패턴을 사용하여 SCAN 또는 KEYS와 같은 문자열 매칭 명령을 실행할 경우, CPU 점유율이 100%로 치솟으며 시스템이 중단되는 서비스 거부(DoS) 공격이 발생할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 복잡한 검색 명령어를 사용하여 데이터베이스를 과부하 상태로 만들 수 있습니다. 이로 인해 데이터베이스가 멈추고 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Redis is an in-memory database that persists on disk. Authenticated users can use string matching commands (like `SCAN` or `KEYS`) with a specially crafted pattern to trigger a denial-of-service attack on Redis, causing it to hang and consume 100% CPU time. The problem is fixed in Redis versions 6.0.18, 6.2.11, 7.0.9.
📍 영향받는 시스템
Redis 6.0.18, 6.2.11, 7.0.9 미만 버전
⚔️ 공격 벡터
인증된 사용자가 특수하게 설계된 패턴을 포함한 SCAN 또는 KEYS 명령어를 실행하여 CPU 자원을 고갈시킴
🛡️ 대응 방법
Redis를 최신 보안 패치가 적용된 버전(6.0.18, 6.2.11, 7.0.9 이상)으로 업데이트
🔧 검증 코드
명령어 실행 결과로 보안 패치가 완료된 버전 번호가 출력되면 안전하며, 아무것도 출력되지 않으면 취약할 수 있습니다.
redis-server --version | grep -E '6.0.1[7-8]|6.2.1[1-9]|7.0.9'