🇰🇷 한글 설명
Redis의 인증된 사용자가 특수하게 제작된 Lua 스크립트를 사용하여 가비지 컬렉터를 조작함으로써 원격 코드 실행(RCE)을 유발할 수 있는 취약점입니다. 이 문제는 Redis 7.4.2, 7.2.7, 6.2.17 버전에서 수정되었습니다. 패치를 적용할 수 없는 경우 ACL을 사용하여 EVAL 및 EVALSHA 명령어를 제한하는 방식으로 완화할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 악성 스크립트를 실행하여 데이터베이스의 관리 기능을 망가뜨리고 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 이를 막으려면 소프트웨어를 업데이트하거나 스크립트 실행 권한을 차단해야 합니다.
🇺🇸 원문 (English)
Redis is an open source, in-memory database that persists on disk. An authenticated user may use a specially crafted Lua script to manipulate the garbage collector and potentially lead to remote code execution. The problem is fixed in 7.4.2, 7.2.7, and 6.2.17. An additional workaround to mitigate the problem without patching the redis-server executable is to prevent users from executing Lua scripts. This can be done using ACL to restrict EVAL and EVALSHA commands.
📍 영향받는 시스템
Redis 7.4.2 미만, 7.2.7 미만, 6.2.17 미만 버전
⚔️ 공격 벡터
인증된 사용자가 조작된 Lua 스크립트를 실행하여 가비지 컬렉터 조작
🛡️ 대응 방법
Redis를 최신 보안 패치 버전(7.4.2, 7.2.7, 6.2.17 이상)으로 업데이트하거나 ACL을 통해 EVAL/EVALSHA 명령어 실행을 차단
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 패치가 필요한 상태이며, 아무것도 출력되지 않으면 안전할 가능성이 높습니다.
redis-server --version | grep -E 'redis v(7\.[0-4]\.[2-9]|7\.2\.[7-9]|6\.2\.[1-7])'