🇰🇷 한글 설명
Redis의 SORT_RO 명령어가 접근된 키를 올바르게 식별하지 못하는 취약점입니다. 이로 인해 ACL 설정으로 권한이 제한된 키에 비정상적으로 접근할 수 있는 문제가 발생합니다. Redis 7.0 이상의 버전에서 발생하며, 7.0.13 및 7.2.1 버전에서 수정되었습니다.
💡 쉬운 설명
데이터베이스의 특정 명령어를 사용할 때, 원래는 볼 수 없어야 할 비밀 데이터까지 보여주는 보안 구멍이 발견되었습니다. 권한 설정이 제대로 작동하지 않아 허가되지 않은 정보가 노출될 수 있습니다.
🇺🇸 원문 (English)
Redis is an in-memory database that persists on disk. Redis does not correctly identify keys accessed by `SORT_RO` and as a result may grant users executing this command access to keys that are not explicitly authorized by the ACL configuration. The problem exists in Redis 7.0 or newer and has been fixed in Redis 7.0.13 and 7.2.1. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Redis 7.0 이상 버전 (7.0.13 및 7.2.1 미만 버전)
⚔️ 공격 벡터
권한이 제한된 사용자가 SORT_RO 명령어를 실행하여 ACL로 보호된 키에 접근
🛡️ 대응 방법
Redis를 7.0.13 또는 7.2.1 이상의 최신 버전으로 업그레이드
🔧 검증 코드
출력된 버전이 7.0.13 미만이거나 7.2.1 미만인 경우 취약할 수 있으므로 확인이 필요합니다.
redis-server --version | grep -E 'redis-server 7\.[0-9]+'