🇰🇷 한글 설명
Redis 8.2.1 이하 버전에서 인증된 사용자가 특수하게 제작된 LUA 스크립트를 사용하여 경계 외 데이터를 읽거나 서버를 충돌시켜 서비스 거부(DoS)를 유발할 수 있습니다. 이 문제는 Lua 스크립팅을 사용하는 모든 Redis 버전에서 발생하며, 8.2.2 버전에서 수정되었습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 악성 스크립트를 실행하여 데이터베이스의 민감한 정보를 훔쳐보거나 서버를 멈추게 할 수 있는 취약점입니다. 서버가 갑자기 꺼지거나 작동하지 않을 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
Redis is an open source, in-memory database that persists on disk. Versions 8.2.1 and below allow an authenticated user to use a specially crafted LUA script to read out-of-bound data or crash the server and subsequent denial of service. The problem exists in all versions of Redis with Lua scripting. This issue is fixed in version 8.2.2. To workaround this issue without patching the redis-server executable is to prevent users from executing Lua scripts. This can be done using ACL to block a script by restricting both the EVAL and FUNCTION command families.
📍 영향받는 시스템
Redis 8.2.1 및 그 이하의 모든 Lua 스크립팅 지원 버전
⚔️ 공격 벡터
인증된 사용자가 조작된 LUA 스크립트를 실행하여 메모리 경계 외 데이터 접근 또는 서버 충돌 유도
🛡️ 대응 방법
Redis를 8.2.2 버전으로 업데이트하거나, ACL을 사용하여 EVAL 및 FUNCTION 명령 실행을 차단
🔧 검증 코드
출력 결과에 8.2.1 이하의 버전 번호가 나타나면 취약한 버전이 설치된 것입니다.
redis-server --version | grep -E 'redis-server v[0-8]\.[0-2]\.[0-1]'