【漏洞预警】最新Redis未授权访问漏洞

原创 欧阳小泽  2019-07-09 23:05  阅读 47 次

Redis是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库,并提供多种语言的API。近期,Redis被爆出存在通过主从复制从而Getshell的漏洞。

漏洞简介

由于在Reids 4.x及以上版本中新增了模块功能,攻击者可通过外部拓展,在 redis中实现一个新的Redis命令。攻击者可以利用该功能引入模块,使被攻击服务器中加载恶意的.so文件,从而实现恶意代码执行。

 

漏洞危害

攻击者可以利用新增的模块功能引入模块,使被攻击服务器加载恶意.so文件,执行攻击者构造的恶意代码。若Redis为4.0以下版本(2.x,3.x),同时redis-server以root权限启动,则攻击者可在服务器上创建任意文件。

 

影响范围

版本

Redis 2.x,3.x,4.x,5.x

 

修复方案

1、禁止外部访问Redis服务端口;

2、禁止使用root权限启动redis服务;

3、配置安全组,限制可连接Redis服务器的IP。

 

参考

https://paper.seebug.org/975/

https://2018.zeronights.ru/wp-content/uploads/materials/15-redis-post-exploitation.pdf

本文地址:http://www.ouyangxiaoze.com/2019/07/362.html
版权声明:本文为原创文章,版权归 欧阳小泽 所有,欢迎分享本文,转载请保留出处!
关于博主:还是一个在网络安全道路上奋斗的小白,请大佬指教

发表评论


表情