严重 Redis未授权弱口令

CVE编号

N/A

利用情况

漏洞武器化

补丁情况

缓解措施

披露时间

2018-11-01

漏洞描述

Redis 因配置不当存在未授权访问漏洞，可以被攻击者恶意利用。 在特定条件下，如果 Redis 以 root 身份运行，黑客可以给 root 账号写入 SSH 公钥文件，直接通过 SSH 登录受害服务器，从而获取服务器权限和数据。一旦入侵成功，攻击者可直接添加账号用于 SSH 远程登录控制服务器，给用户的 Redis 运行环境以及 Linux 主机带来安全风险，如删除、泄露或加密重要数据，引发勒索事件等。

解决建议

1）监听服务IP到127.0.0.12）设置防火墙策略3）设置访问密码

参考链接
https://help.aliyun.com/knowledge_detail/37447.html

阿里云评分 9.9

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 全局影响
• EXP成熟度 漏洞武器化
• 补丁情况 缓解措施
• 数据保密性 数据泄露
• 数据完整性 传输被破坏
• 服务器危害 服务器失陷
• 全网数量 N/A

CWE-ID	漏洞类型

Exp相关链接

- avd.aliyun.com