The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]

30.09.2016 19:58  Критическая уязвимость в СУБД Redis

Компания Cisco раскрыла сведения об уязвимости (CVE-2016-8339) в СУБД Redis, которая может привести к выполнению в системе кода злоумышленника. Уязвимость вызвана ошибкой обработки опции client-output-buffer-limit при выполнении команды "CONFIG SET".

Отправив через команду "CONFIG SET" специально оформленный запрос на модификацию переменной client-output-buffer-limit можно добиться записи за пределы выделенного буфера, что может быть использовано для организации выполнения кода злоумышленника, имеющего доступ к СУБД (недавнее сканирование сети выявило более 30 тысяч незащищённых конфигураций Redis, принимающих соединения на внешнем IP). Проблема устранена в выпуске Redis 3.2.4. Исправление также доступно в виде патча.

  1. Главная ссылка к новости (http://blog.talosintel.com/201...)
  2. OpenNews: Выявлено вредоносное ПО, использующее уязвимые СУБД Redis для майнинга криптовалют
  3. OpenNews: Выявлено около 6000 скомпрометированных установок СУБД Redis
  4. OpenNews: Выпуск СУБД Redis 3.2
  5. OpenNews: Представлена Serenity, Redis-совместимая транзакционная СУБД с дисковым хранилищем
  6. OpenNews: Проект по созданию варианта СУБД Redis, переписанного на языке Rust
Лицензия: CC-BY
Тип: Проблемы безопасности
Ключевые слова: redis
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Ajax/Линейный | Раскрыть все сообщения | RSS
 
  • 1.1, Аноним (-), 22:24, 30/09/2016 [ответить] [показать ветку] [···]    [к модератору]
  • +/
    Какой же идиот redis-сервер на внешнем ip держит?
     
     
  • 2.2, pkdr (ok), 22:35, 30/09/2016 [^] [ответить]    [к модератору]
  • +4 +/
    Так их тысячи
     
  • 2.3, олхнтп (?), 22:41, 30/09/2016 [^] [ответить]    [к модератору]
  • +/
    премию Дарвина не зря придумали :P
     
  • 2.4, Аноним (-), 23:24, 30/09/2016 [^] [ответить]    [к модератору]
  • +/
    >  Какой же идиот redis-сервер на внешнем ip держит?

    Запусти zmap и очень скоро у тебя будет исчерпывающий список идиотов.

     
  • 2.6, Роман (??), 03:10, 01/10/2016 [^] [ответить]    [к модератору]
  • –4 +/
    >> Какой же идиот redis-сервер на внешнем ip держит?

    Боже как же вы достали, не на внешнем IP держит а не ставит пароль/сертификат на доступ.

     
     
  • 3.9, Michael Shigorin (ok), 23:15, 01/10/2016 [^] [ответить]    [к модератору]  
  • +/
    >>> Какой же идиот redis-сервер на внешнем ip держит?
    > Боже как же вы достали, не на внешнем IP держит а не
    > ставит пароль/сертификат на доступ.

    А можете поделиться примерами, зачем заду банных выставлять на улицу?
    Через VPN -- ещё понимаю, но вот прям так...

     
     
  • 4.10, angra (ok), 06:06, 02/10/2016 [^] [ответить]    [к модератору]  
  • +/
    VPN это лишние телодвижения как для админов, так и для девелоперов. Делать лишнюю работу никто не любит. С тем же успехом можно спросить о том, почему не все делают регулярные бекапы.
     
  • 4.12, Led (ok), 01:03, 05/10/2016 [^] [ответить]    [к модератору]  
  • +/
    > А можете поделиться примерами, зачем заду банных выставлять на улицу?

    redis имет такое же отношение к базам данных, как морская свинка к морю.

     
  • 3.11, XoRe (ok), 19:37, 02/10/2016 [^] [ответить]    [к модератору]  
  • +2 +/
    >>> Какой же идиот redis-сервер на внешнем ip держит?
    > Боже как же вы достали, не на внешнем IP держит а не
    > ставит пароль/сертификат на доступ.

    Мы вас сейчас ещё больше достанем - в redis нет авторизации по сертифкату, а логин/пароль там реализованы для галочки (они передаются простым текстом по сети). То, что его назвали СУБД в новости, ещё не значит, что он таковым является.
    Это просто быстрое key-value хранилище для хранения частоменяющихся данных. Ограничивать доступ там нужно на сетевом уровне - listen, firewall. Об этом прямо пишут сами разработчики redis:
    http://redis.io/topics/security

     
  • 2.8, YetAnotherOnanym (ok), 12:50, 01/10/2016 [^] [ответить]    [к модератору]  
  • +5 +/
    Один идиот слепит скрипт или утилиту для быстрого деплоя сайтов, а тысячи пользуются. А когда их ткнёшь носом в дыры, говорят - "зато я их быстро делаю, а сколько сайтов в свои годы сделал ты?"
     
  • 1.5, Аноним (-), 01:01, 01/10/2016 [ответить] [показать ветку] [···]    [к модератору]  
  • –2 +/
    Капитанская уязвимость после mysql (LOCAL FILE).
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2018 by Maxim Chirkov  
    ДобавитьПоддержатьВебмастеруГИД  
    Hosting by Ihor