漏洞描述
Redis是一個開源的使用ANSI C語言編寫、支持網(wǎng)絡、可基于內(nèi)存亦可持久化的日志型、Key-Value數(shù)據(jù)庫，并提供多種語言的API。作為一個高性能的key-value數(shù)據(jù)庫，Redis在部分場景下對關系數(shù)據(jù)庫起到很好的補充作用。
漏洞編號
CNVD-2019-21763
漏洞危害
攻擊者可通過外部拓展，在Redis中實現(xiàn)一個新的Redis命令。攻擊者可以利用該功能引入模塊，在未授權訪問的情況下使被攻擊服務器加載惡意.so 文件，從而實現(xiàn)遠程代碼執(zhí)行。
建議使用Redis數(shù)據(jù)庫的信息系統(tǒng)運營者進行自查，發(fā)現(xiàn)存在漏洞后，按照臨時解決方案及時進行修復。
漏洞等級
高危
受影響版本
Redis 2.x，3.x，4.x，5.x
修復方案
目前，Redis官方暫未發(fā)布補丁，臨時解決方案如下：
1、禁止外部訪問Redis 服務端口；
2、禁止使用root權限啟動Redis服務；
3、配置安全組，限制可連接Redis服務器的IP。