2019年7月(yuè)(yuè)10日，國家信息安全漏洞共享平台（CNVD）收錄了(le)Redis遠程命令執行漏洞（CNVD-2019-21763）。攻擊者利用該漏洞，可在未授權訪問Redis的情況下(xià)執行任意代碼，獲取目标服務器(qì)權限。目前，漏洞利用原理(lǐ)已公開，官方補丁尚未發布。

一(yī)、漏洞情況分(fēn)析

Redis是一(yī)個開源的使用ANSI C語言編寫、支持網絡、可基于内存亦可持久化(huà)的日志型、Key-Value數據庫，并提供多種語言的API。作(zuò)爲一(yī)個高性能(néng)的key-value數據庫，Redis在部分(fēn)場景下(xià)對關系數據庫起到很好(hǎo)(hǎo)的補充作(zuò)用。

2019年7月(yuè)(yuè)7日，LC/BC的成員Pavel Toporkov在WCTF2019 Final分(fēn)享會上(shàng)介紹了(le)Redis新(xīn)版本的遠程命令執行漏洞的利用方式。由于在Reids 4.x及以上(shàng)版本中新(xīn)增了(le)模塊功能(néng)，攻擊者可通過外部拓展，在Redis中實現一(yī)個新(xīn)的Redis命令。攻擊者可以利用該功能(néng)引入模塊，在未授權訪問的情況下(xià)使被攻擊服務器(qì)加載惡意.so 文件，從而實現遠程代碼執行。

CNVD對該漏洞的綜合評級爲“高危”。

二、漏洞影響範圍

漏洞影響的産品版本包括：

Redis 2.x，3.x，4.x，5.x

三、漏洞處置建議

目前，Redis官方暫未發布補丁，臨時解決方案如(rú)下(xià)：

1、禁止外部訪問Redis 服務端口；

2、禁止使用root權限啓動Redis服務；

3、配置安全組，限制可連接Redis服務器(qì)的IP。

建議使用Redis數據庫的信息系統運營者進行自查，發現存在漏洞後，按照臨時解決方案及時進行修複。

附：參考鏈接：

https://paper.seebug.org/975/