最新Redis未授权访问漏洞

作者:   深圳市网安计算机安全检测技术有限公司 2019/07/10 10:20:16 186次阅读 国际
文章来源:https://mp.weixin.qq.com/s/yFfMQNBECt-YytEXlCHDPA

 09c776424c1268c07d66cee85911a663.png  

        edis是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库,并提供多种语言的API。近期,Redis被爆出存在通过主从复制从而Getshell的漏洞。

        网藤CRS/ARS产品已全面支持该漏洞的检测与验证,网藤用户可直接登陆www.riskivy.com 进行验证。


漏洞简介

        由于在Reids 4.x及以上版本中新增了模块功能,攻击者可通过外部拓展,在 redis中实现一个新的Redis命令。攻击者可以利用该功能引入模块,使被攻击服务器中加载恶意的.so文件,从而实现恶意代码执行。


漏洞危害

        攻击者可以利用新增的模块功能引入模块,使被攻击服务器加载恶意.so文件,执行攻击者构造的恶意代码。若Redis为4.0以下版本(2.x,3.x),同时redis-server以root权限启动,则攻击者可在服务器上创建任意文件。


影响范围

版本

Redis 2.x,3.x,4.x,5.x


修复方案

1、禁止外部访问Redis服务端口;

2、禁止使用root权限启动redis服务;

3、配置安全组,限制可连接Redis服务器的IP。


参考

https://paper.seebug.org/975/
https://2018.zeronights.ru/wp-content/uploads/materials/15-redis-post-exploitation.pdf


指导单位
广东省公安厅网络警察总队 广东省信息安全等级保护协调小组办公室