🇰🇷 한글 설명
Redis가 시작될 때 Unix 소켓의 권한을 설정하기 전, 허용 범위가 넓은 umask 설정으로 인해 일시적으로 권한이 없는 프로세스가 연결할 수 있는 레이스 컨디션 취약점이 존재합니다. 이 문제는 Redis 2.6.0-RC1 버전부터 발생해 왔으며, 최신 패치 버전으로 업데이트가 권장됩니다.
💡 쉬운 설명
Redis 프로그램이 켜지는 아주 짧은 순간 동안 보안 문이 잠시 열려 다른 프로그램이 몰래 들어올 수 있는 틈이 생기는 문제입니다. 이를 막으려면 프로그램을 최신 버전으로 업데이트하거나 보안 설정을 강화해야 합니다.
🇺🇸 원문 (English)
Redis is an in-memory database that persists on disk. On startup, Redis begins listening on a Unix socket before adjusting its permissions to the user-provided configuration. If a permissive umask(2) is used, this creates a race condition that enables, during a short period of time, another process to establish an otherwise unauthorized connection. This problem has existed since Redis 2.6.0-RC1. This issue has been addressed in Redis versions 7.2.2, 7.0.14 and 6.2.14. Users are advised to upgrade. For users unable to upgrade, it is possible to work around the problem by disabling Unix sockets, starting Redis with a restrictive umask, or storing the Unix socket file in a protected directory.
📍 영향받는 시스템
Redis 2.6.0-RC1 이상 ~ 7.2.1, 7.0.13, 6.2.13 이하 버전
⚔️ 공격 벡터
Redis 시작 시 발생하는 레이스 컨디션을 이용한 Unix 소켓 비인가 연결
🛡️ 대응 방법
Redis를 7.2.2, 7.0.14, 6.2.14 이상 버전으로 업그레이드하거나, Unix 소켓 비활성화 또는 제한적인 umask 설정 적용
🔧 검증 코드
명령어 실행 결과에 패치된 버전(7.2.2, 7.0.14, 6.2.14)이 포함되어 있으면 안전합니다.
redis-server --version | grep -E '7.2.2|7.0.14|6.2.14'