🇰🇷 한글 설명
redis-py 4.4.4 미만 버전 및 4.5.x 4.5.4 미만 버전에서 비동기 Redis 명령을 취소할 때 연결이 열린 상태로 유지되는 취약점이 있습니다. 이로 인해 다른 요청의 응답 데이터가 엉뚱한 클라이언트에게 전송되어 데이터 유출이 발생할 수 있습니다.
💡 쉬운 설명
비동기 방식으로 명령을 처리하던 중 작업이 취소되면, 원래 받아야 할 데이터가 다른 사용자에게 잘못 전달될 수 있는 문제입니다. 이는 개인정보나 중요한 데이터가 의도치 않게 노출될 위험을 초래합니다.
🇺🇸 원문 (English)
redis-py before 4.4.4 and 4.5.x before 4.5.4 leaves a connection open after canceling an async Redis command at an inopportune time, and can send response data to the client of an unrelated request. (This could, for example, happen for a non-pipeline operation.) NOTE: the solutions for CVE-2023-28859 address data leakage across AsyncIO connections in general.
📍 영향받는 시스템
redis-py < 4.4.4 및 4.5.x < 4.5.4
⚔️ 공격 벡터
비동기 명령 취소 시 발생하는 연결 관리 오류를 이용한 데이터 유출
🛡️ 대응 방법
redis-py를 4.4.4 또는 4.5.4 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 4.4.4 또는 4.5.4 이상인지 확인하십시오.
pip show redis-py | grep Version