Yaygın olarak kullanılan bellek içi veritabanı Redis’te, potansiyel olarak milyonlarca sistemi hizmet reddi (DoS) saldırılarına ve uzaktan kod yürütmeye (RCE) maruz bırakan iki kritik güvenlik açığı belirlendi.
CVE-2024-51741 ve CVE-2024-46981 olarak takip edilen bu kusurlar, Redis kullanıcıları için önemli güvenlik risklerini vurguluyor ve zamanında güncelleme ve azaltma işlemlerinin önemini vurguluyor.
CVE-2024-51741: Hatalı Biçimlendirilmiş ACL Seçiciler Yoluyla Hizmet Reddi
İlk güvenlik açığı olan CVE-2024-51741, Redis’in 7.0.0 ve daha yeni sürümlerini etkiliyor. Yeterli ayrıcalıklara sahip kimliği doğrulanmış bir kullanıcı, hatalı biçimlendirilmiş bir Erişim Kontrol Listesi (ACL) seçici oluşturabilir.
Investigate Real-World Malicious Links, Malware & Phishing Attacks With ANY.RUN – Try for Free
Bu hatalı biçimlendirilmiş seçiciye erişildiğinde sunucu paniği tetiklenir ve bu da hizmet reddi durumuna yol açar. Bu sorun Redis’in 7.2.7 ve 7.4.2 sürümlerinde çözülmüştür.
Redis kullanıcılarından, sistemlerini potansiyel istismardan korumak için derhal bu yamalı sürümlere yükseltmeleri isteniyor. Güvenlik açığı, kusurun belirlenmesine katkıda bulunan Axel Mierczuk tarafından bildirildi.
CVE-2024-46981: Lua Komut Dosyası aracılığıyla Uzaktan Kod Yürütme
İkinci güvenlik açığı olan CVE-2024-46981, uzaktan kod yürütülmesine izin verebileceğinden daha da büyük bir tehdit oluşturuyor. Bu sorun, Redis’teki Lua komut dosyası oluşturma özelliklerinin kötüye kullanılmasından kaynaklanmaktadır.
Kimliği doğrulanmış bir saldırgan, çöp toplayıcıyı manipüle etmek için kötü amaçlı bir Lua komut dosyası oluşturabilir ve potansiyel olarak sunucuda rastgele kod çalıştırabilir.
Bu güvenlik açığı, Lua komut dosyası oluşturmanın etkin olduğu tüm Redis sürümlerini etkiler. Bu sorunu çözmek için Redis 6.2.x, 7.2.x ve 7.4.x için yamalar yayımlandı.
Hemen güncelleme yapamayan kullanıcılar için ek bir önlem olarak, ACL kurallarını kullanarak “EVAL” ve “EVALLSHA” komutlarını kısıtlayarak Lua komut dosyasını devre dışı bırakmanız önerilir.
CVE-2024-46981’in keşfi, Trend Micro’nun Zero Day Initiative ile işbirliği içinde çalışan güvenlik araştırmacısı p33zy’ye atfedilmektedir.
Bu güvenlik açıklarına karşı korunmak için:
1. Redis’i Yükselt: Kullanıcılar kurulumlarını CVE-2024-51741 için yamalı sürümlere (7.2.7 veya 7.4.2) ve CVE-2024-46981 için en son sürümlere güncellemelidir.
2. Lua Komut Dosyasını Kısıtla: CVE-2024-46981 için geçici bir çözüm olarak, ACL kurallarını ‘EVAL’ ve ‘EVALLSHA’ komutlarını engelleyecek şekilde değiştirerek Lua komut dosyası oluşturmayı devre dışı bırakın.
3. Erişim Kontrollerini İzleyin: Redis sunucularında ayrıcalıklı komutları yürütmek için yalnızca güvenilir kullanıcıların erişime sahip olduğundan emin olun.
Bu güvenlik açıkları, veritabanı sistemlerinin yönetiminde sağlam güvenlik uygulamalarına olan kritik ihtiyacı vurgulamaktadır. Redis kullanıcılarına, riskleri azaltmak ve ortamlarını potansiyel istismara karşı güvence altına almak için derhal harekete geçmeleri önemle tavsiye edilir.
Find this News Interesting! Follow us on Google News, LinkedIn, and X to Get Instant Updates!