🇰🇷 한글 설명
Redis 8.2.0 이상의 버전에서 XACKDEL 명령어를 여러 개의 ID와 함께 실행할 경우 스택 버퍼 오버플로우가 발생할 수 있습니다. 이 취약점을 통해 공격자가 원격 코드 실행(RCE)을 시도할 가능성이 있습니다. 해당 문제는 8.2.3 버전에서 수정되었습니다.
💡 쉬운 설명
Redis 데이터베이스에서 특정 명령어를 잘못 사용하면 프로그램의 메모리 영역이 넘쳐흘러 해커가 컴퓨터를 마음대로 조종할 수 있는 문제입니다. 최신 버전으로 업데이트하거나 해당 명령어를 사용하지 못하게 막아야 합니다.
🇺🇸 원문 (English)
Redis is an open source, in-memory database that persists on disk. In versions 8.2.0 and above, a user can run the XACKDEL command with multiple ID's and trigger a stack buffer overflow, which may potentially lead to remote code execution. This issue is fixed in version 8.2.3. To workaround this issue without patching the redis-server executable is to prevent users from executing XACKDEL operation. This can be done using ACL to restrict XACKDEL command.
📍 영향받는 시스템
Redis version 8.2.0 and above
⚔️ 공격 벡터
XACKDEL 명령어를 사용하여 여러 개의 ID를 전달함으로써 발생하는 스택 버퍼 오버플로우 공격
🛡️ 대응 방법
Redis를 8.2.3 버전 이상으로 업데이트하거나, ACL을 사용하여 XACKDEL 명령어 실행을 제한하십시오.
🔧 검증 코드
명령어 결과에 v8.2.0부터 v8.2.9 사이의 버전이 출력되면 취약한 버전이 설치된 것입니다.
redis-server --version | grep -E 'redis-server v8\.[2-9]\.'