Redis の RCE 脆弱性 CVE-2023-41056：直ちにパッチ適用を！

CVE-2023-41056: Redis Remote Code Execution Vulnerability

2023/01/09 SecurityOnline — 汎用 NO SQL サーバとして広く利用されている Redis に、深刻度の高い脆弱性 CVE-2023-41056 が発見された。Redis は、サーバ・クライアント・モデルを通じて、変更可能なデータ構造を効率的に提供することで知られており、様々なプロセスにおける共有データ構造の照会／変更を容易にする。

この脆弱性 CVE-2023-41056 (CVSS：8.1) は、最も安全なシステムの脆弱性を強調する深刻な脅威である。この脆弱性は、Redis 内のメモリ・バッファのリサイジングの不適切な処理に起因し、バッファ・サイズの計算違いにつながる。この一見些細なエラーは、雪だるま式に重大な脅威となり、ヒープ・オーバーフローを引き起こす。その結果として、リモート・コード実行が可能となり、影響を受けたシステムへの不正アクセス攻撃者に許し、制御を奪われるというシナリオが考えられる。

セキュリティ・アドバイザリには、「Redis には、メモリ・バッファのリサイズを誤って処理する可能性がある。誤った処理が実行された場合には、バッファ・サイズが正しく計算されず、ヒープ・オーバーフローやリモート・コード実行につながる可能性がある」と記されている。

この脆弱性は、Redis 7.0.9 以降に影響をおよぼし、そこには 7.2.x シリーズも含まれる。このように、影響を受けるバージョンが広範囲に及ぶということは、世界中の大半の Redis の重要なデータ構造が、不正な操作や盗難などにさらされる可能性があることを意味する。

Redis 7.0.15／7.2.4 において、この脆弱性は修正された。これらの更新されたバージョンは、脆弱性にパッチを当て、データ構造の安全でセキュアな管理を保証するものである。Redis ユーザーに推奨されるのは、安全な最新バージョンへのアップデートである。

NO SQL サーバ Redis は、無料で使えるオープンソースなので、さまざまな組織が活用しているのかと思います。そこに、ヒープ・オーバーフロからリモート・コード実行につながる脆弱性とのことなので、ご利用のチームは、ご注意ください。よろしければ、Redis で検索も、ご利用ください。