Redis配置不当导致root被提权漏洞

时间 2019-11-05

标签 redis 配置不当导致 root 漏洞栏目 Redis 繁體版

原文原文链接

Redis配置不当导致root被提权漏洞redis

Dear all~数据库

最近Redis服务被曝出因配置不当，可能形成数据库被恶意清空，或被黑客利用写入后门文件形成进一步入侵，请关注！服务器

1、漏洞发布日期ui

2015年11月10日登录

2、已确认被成功利用的软件及系统require

对公网开放，且未启用认证的redis服务器。软件

3、漏洞描述配置

最近Redis服务被曝出因配置不当，被攻击者进行恶意利用。
黑客借助redis内置命令，能够对现有数据进行恶意清空。
若是Redis以root身份运行，黑客可往服务器上写入SSH公钥文件，直接登陆服务器。权限

4、建议修复方案（须要重启redis才能生效）密码

一、绑定须要访问数据库的IP
修改 redis.conf 中的 “bind 127.0.0.1” ，改为须要访问此数据库的IP地址。

二、设置访问密码
在 redis.conf 中找到“requirepass”字段，在后面填上你须要的密码。

三、修改redis服务运行帐号请以较低权限帐号运行redis服务，且禁用该帐号的登陆权限。