🇰🇷 한글 설명
Redis 8.2.1 이하 버전에서 인증된 사용자가 특수하게 제작된 Lua 스크립트를 사용하여 LUA 객체를 조작하고 다른 사용자의 권한으로 코드를 실행할 수 있는 취약점이 발견되었습니다. 이 문제는 Lua 스크립팅 기능이 포함된 모든 Redis 버전에서 발생하며, Redis 8.2.2 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자가 조작된 스크립트를 이용해 다른 사용자의 권한을 가로채거나 시스템 명령을 실행할 수 있는 보안 결함입니다. Redis의 스크립트 실행 기능을 악용하여 데이터베이스의 통제권을 잃을 수 있습니다.
🇺🇸 원문 (English)
Redis is an open source, in-memory database that persists on disk. Versions 8.2.1 and below allow an authenticated user to use a specially crafted Lua script to manipulate different LUA objects and potentially run their own code in the context of another user. The problem exists in all versions of Redis with LUA scripting. This issue is fixed in version 8.2.2. A workaround to mitigate the problem without patching the redis-server executable is to prevent users from executing LUA scripts. This can be done using ACL to block a script by restricting both the EVAL and FUNCTION command families.
📍 영향받는 시스템
Redis 8.2.1 및 그 이하 버전 (Lua 스크립팅 기능 포함 시)
⚔️ 공격 벡터
인증된 사용자가 조작된 Lua 스크립트를 실행하여 LUA 객체 조작 및 권한 상승 시도
🛡️ 대응 방법
Redis를 8.2.2 버전 이상으로 업데이트하거나, ACL을 통해 EVAL 및 FUNCTION 명령 실행을 차단함
🔧 검증 코드
출력된 버전 번호가 8.2.2 미만(예: 8.2.1 이하)이면 취약한 상태입니다.
redis-cli --version | grep -E 'redis-[0-9]+\.[0-9]+\.[0-9]+'