搜索

[1587] 2019-07-10_关于Redis存在远程命令执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-16
2019-07-10_关于Redis存在远程命令执行漏洞的安全公告 关 于 R e d i s 存 在 远 程 命 令 执 行 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 9 - 0 7 - 1 0 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 9 - 0 0 2 4 2 0 1 9 年 7 月 1 0 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 R e d i s 远 程 命 令 执 行 漏 洞 （ C N V D - 2 0 1 9 - 2 1 7 6 3 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 访 问 R e d i s 的 情 况 下 执 行 任 意 代 码 ， 获 取 目 标 服 务 器 权 限 。 目 前 ， 漏 洞 利 用 原 理 已 公 开 ， 官 方 补 丁 尚 未 发 布 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 R e d i s 是 一 个 开 源 的 使 用 A N S I   C 语 言 编 写 、 支 持 网 络 、 可 基 于 内 存 亦 可 持 久 化 的 日 志 型 、 K e y - V a l u e 数 据 库 ， 并 提 供 多 种 语 言 的 A P I 。 作 为 一 个 高 性 能 的 k e y - v a l u e 数 据 库 ， R e d i s 在 部 分 场 景 下 对 关 系 数 据 库 起 到 很 好 的 补 充 作 用 。 2 0 1 9 年 7 月 7 日 ， L C / B C 的 成 员 P a v e l   T o p o r k o v 在 W C T F 2 0 1 9   F i n a l 分 享 会 上 介 绍 了 R e d i s 新 版 本 的 远 程 命 令 执 行 漏 洞 的 利 用 方 式 。 由 于 在 R e i d s   4 . x 及 以 上 版 本 中 新 增 了 模 块 功 能 ， 攻 击 者 可 通 过 外 部 拓 展 ， 在 R e d i s 中 实 现 一 个 新 的 R e d i s 命 令 。 攻 击 者 可 以 利 用 该 功 能 引 入 模 块 ， 在 未 授 权 访 问 的 情 况 下 使 被 攻 击 服 务 器 加 载 恶 意 . s o   文 件 ， 从 而 实 现 远 程 代 码 执 行 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 漏 洞 影 响 的 产 品 版 本 包 括 ： R e d i s   2 . x ， 3 . x ， 4 . x ， 5 . x 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 目 前 ， R e d i s 官 方 暂 未 发 布 补 丁 ， 临 时 解 决 方 案 如 下 ： 1 、 禁 止 外 部 访 问 R e d i s   服 务 端 口 ； 2 、 禁 止 使 用 r o o t 权 限 启 动 R e d i s 服 务 ； 3 、 配 置 安 全 组 ， 限 制 可 连 接 R e d i s 服 务 器 的 I P 。 建 议 使 用 R e d i s 数 据 库 的 信 息 系 统 运 营 者 进 行 自 查 ， 发 现 存 在 漏 洞 后 ， 按 照 临 时 解 决 方 案 及 时 进 行 修 复 。   附 ： 参 考 链 接 ： h t t p s : / / p a p e r . s e e b u g . o r g / 9 7 5 /   感 谢 C N V D 技 术 组 成 员 单 位 — — 上 海 斗 象 信 息 科 技 有 限 公 司 为 本 报 告 提 供 的 技 术 支 持 。 关 注 C N V D 漏 洞 平 台
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理