Redis Debian-specific Redis Servers の認可の不備の脆弱性（CVE-2022-0543）

何が起きた

Debian が配布している Redis（データを保存するソフト）のパッケージに、作り方の問題から、Lua という仕組みのサンドボックス（安全な囲い）を抜け出せる弱点が見つかりました。悪用されると、離れた場所から任意のコード（攻撃者が好きに選べるプログラム）を実行される可能性があります。NVD の評価では、ネットワーク経由で、ログインなどの権限がなくても、利用者の操作なしで悪用できるとされています。実際に悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Debian の redis パッケージを使っている人・組織が対象です。Debian の情報では、buster と bullseye の redis が影響を受け、stretch は影響を受けません。これは Debian のパッケージだけの問題（Debian-specific Redis Servers）です。

何をすればいい

Debian の公式の案内（DSA-5081-1）を確認し、redis パッケージを修正版に更新してください。修正版は buster で 5:5.0.14-1+deb10u2、bullseye で 5:6.0.16-1+deb11u2、unstable で 5:6.0.16-2 です。使っている redis パッケージのバージョンが修正版以降になっているか確認してください。

やることチェックリスト

• redis パッケージのバージョンを確認する
• DSA-5081-1 の修正版へ更新する
• buster は 5:5.0.14-1+deb10u2 以降にする

用語メモ

サンドボックス

プログラムを閉じ込めて、決められた範囲の外に手を出せないようにする仕組みです。

Lua

小さなプログラムを書くための言語です。Redis では、Lua で書いた処理をサーバーの中で動かせます。

パッケージ

ソフトを簡単に入れたり更新したりできるように、まとめて配布する形のことです。