🇰🇷 한글 설명
Redis의 인증된 사용자가 특수하게 조작된 인자를 사용하여 HRANDFIELD 또는 ZRANDMEMBER 명령을 실행할 경우, 어설션 실패(assertion failure)를 유발하여 시스템을 충돌시킬 수 있습니다. 이 취약점은 서비스 거부(DoS) 공격으로 이어질 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 특정 명령어를 잘못된 방식으로 입력하면 데이터베이스가 갑자기 멈춰버릴 수 있습니다. 이로 인해 서비스가 중단되어 정상적인 이용이 불가능해질 수 있습니다.
🇺🇸 원문 (English)
Redis is an in-memory database that persists on disk. Authenticated users can issue a `HRANDFIELD` or `ZRANDMEMBER` command with specially crafted arguments to trigger a denial-of-service by crashing Redis with an assertion failure. This problem affects Redis versions 6.2 or newer up to but not including 6.2.9 as well as versions 7.0 up to but not including 7.0.8. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Redis 6.2.x (6.2.9 미만) 및 7.0.x (7.0.8 미만) 버전
⚔️ 공격 벡터
인증된 사용자가 조작된 인자를 포함한 HRANDFIELD 또는 ZRANDMEMBER 명령 실행
🛡️ 대응 방법
Redis를 최신 보안 패치가 적용된 버전(6.2.9 이상 또는 7.0.8 이상)으로 업그레이드
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있는 상태입니다.
redis-server --version | grep -E 'v6.2\.[0-8]|v7.0\.[0-7]'