🇰🇷 한글 설명
Ray 2.43.0 이전 버전에서 Redis 비밀번호가 표준 로그에 기록되는 민감 정보 노출 취약점입니다. 로깅이 활성화되고 Redis 비밀번호 인증을 사용 중이며 로그에 접근 가능한 공격자는 비밀번호를 탈취할 수 있습니다.
💡 쉬운 설명
Ray 프로그램이 Redis 데이터베이스 접근 비밀번호를 로그 파일에 평문으로 기록하는 문제입니다. 이 로그 파일을 본 사람이면 누구나 비밀번호를 알아낼 수 있습니다.
🇺🇸 원문 (English)
Versions of the package ray before 2.43.0 are vulnerable to Insertion of Sensitive Information into Log File where the redis password is being logged in the standard logging. If the redis password is passed as an argument, it will be logged and could potentially leak the password.
This is only exploitable if:
1) Logging is enabled;
2) Redis is using password authentication;
3) Those logs are accessible to an attacker, who can reach that redis instance.
**Note:**
It is recommended that anyone who is running in this configuration should update to the latest version of Ray, then rotate their redis password.
📍 영향받는 시스템
Ray < 2.43.0 (로깅 활성화 상태에서 Redis 비밀번호 인증 사용 시)
⚔️ 공격 벡터
로그 파일 접근을 통해 노출된 Redis 비밀번호를 획득하여 데이터베이스에 무단 접근
🛡️ 대응 방법
Ray를 2.43.0 이상으로 업그레이드한 후 Redis 비밀번호 변경
🔧 검증 코드
버전이 2.43.0 이상이면 정상, 그 이하이면 취약함
pip show ray 2>/dev/null | grep Version | awk '{print $2}' | grep -E '^2\.(4[3-9]|[5-9][0-9]|[0-9]{3,})'