🇰🇷 한글 설명
Redis의 특정 명령어를 사용할 때 매우 긴 문자열 매칭 패턴을 입력하면 무한 재귀가 발생하여 스택 오버플로 및 프로세스 충돌이 발생할 수 있습니다. 인증된 사용자가 KEYS, SCAN, PSUBSCRIBE 등의 명령어를 통해 서비스 거부(DoS) 공격을 수행할 수 있는 취약점입니다.
💡 쉬운 설명
특수한 긴 문자를 입력하면 데이터베이스 프로그램이 계산을 하다가 과부하로 인해 갑자기 꺼져버리는 문제입니다. 이로 인해 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Redis is an open source, in-memory database that persists on disk. Authenticated users can trigger a denial-of-service by using specially crafted, long string match patterns on supported commands such as `KEYS`, `SCAN`, `PSUBSCRIBE`, `FUNCTION LIST`, `COMMAND LIST` and ACL definitions. Matching of extremely long patterns may result in unbounded recursion, leading to stack overflow and process crash. This problem has been fixed in Redis versions 6.2.16, 7.2.6, and 7.4.1. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
Redis 6.2.16 미만, 7.2.6 미만, 7.4.1 미만 버전
⚔️ 공격 벡터
인증된 사용자가 특수하게 제작된 매우 긴 패턴을 포함한 명령어를 실행하여 스택 오버플로 유도
🛡️ 대응 방법
Redis를 최신 보안 패치 버전(6.2.16, 7.2.6, 7.4.1 이상)으로 업그레이드
🔧 검증 코드
출력된 Redis 버전을 확인하여 취약한 버전 범위에 해당하는지 체크