🇰🇷 한글 설명
Redis의 Lua 스크립팅 기능에서 인증된 공격자가 마스터-레플리카 동기화 메커니즘을 악용하여 메모리 use-after-free 취약점을 트리거할 수 있습니다. replica-read-only가 비활성화된 레플리카에서 원격 코드 실행으로 이어질 수 있으며, 버전 8.6.3에서 패치되었습니다.
💡 쉬운 설명
Redis 데이터베이스에서 관리자 권한이 있는 공격자가 특수한 명령어를 통해 복제 서버를 장악하고 악의적인 코드를 실행할 수 있는 심각한 결함입니다. Redis를 8.6.3 이상으로 업데이트하거나 Lua 스크립트 실행을 제한하여 방어할 수 있습니다.
🇺🇸 원문 (English)
Redis is an in-memory data structure store. In all versions of redis-server with Lua scripting, an authenticated attacker can exploit the master-replica synchronization mechanism to trigger a use-after-free on replicas where replica-read-only is disabled or can be disabled, which may lead to remote code execution. A workaround is to prevent users from executing Lua scripts or avoid using replicas where replica-read-only is disabled. This is patched in version 8.6.3.
📍 영향받는 시스템
Redis 8.6.3 미만의 모든 버전 (Lua 스크립팅 활성화, replica-read-only 비활성화 환경)
⚔️ 공격 벡터
인증된 사용자가 Lua 스크립트를 실행하여 마스터-레플리카 동기화 중 메모리 use-after-free 조건을 악용
🛡️ 대응 방법
Redis를 8.6.3 이상으로 업그레이드하거나 Lua 스크립트 실행 권한 제한 또는 replica-read-only 활성화
🔧 검증 코드
출력된 Redis 버전이 8.6.3 미만이면 즉시 업그레이드 필요, 8.6.3 이상이면 안전
redis-cli --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' || redis-server --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+'
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Redis 제품 보안 업데이트 권고
P3
📅 2026-10-29 · sec_notice
Redis OSS/CE 전 릴리스에 영향을 주는 Heap-based Buffer Overflow 취약점(CVE-2026-25243)이 발견되어 보안 업데이트가 발표되었습니다. 영향을 받는 버전을 사용 중인 기관은 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3 이상 해당 브랜치의 수정 버전으로 즉시 업데이트할 것을 권장합니다. 상세 내용은 Redis 공식 보안 권고문을 참고하시기 바랍니다.