redis-store désérialise des données non fiables

Cette vulnérabilité est particulièrement critique car elle permet à un attaquant de charger des objets malveillants depuis Redis, qui peuvent ensuite être exécutés sur le serveur. Un attaquant ayant accès à Redis peut exploiter cette faille pour prendre le contrôle complet du serveur, voler des données sensibles ou lancer des attaques contre d'autres systèmes. Le risque est exacerbé si Redis est exposé publiquement ou si les contrôles d'accès sont mal configurés. L'exécution de code à distance (RCE) est possible, ce qui signifie que l'attaquant n'a pas besoin d'authentification préalable.

Ruby applications that rely on the redis-store gem for data persistence are at risk. This includes web applications, background workers, and any other Ruby processes using Redis as a data store. Specifically, applications with weak Redis access controls or those that do not properly validate data stored in Redis are particularly vulnerable.

• ruby / gem: Check gem versions using gem list redis-store. If the version is ≤1.3.0, the system is vulnerable. • ruby / application: Review application code for any instances where data is loaded from Redis using redis-store and not properly validated. • generic web: Monitor Redis logs for unusual activity or attempts to inject data. Look for patterns indicative of malicious payloads. • database (redis): Use redis-cli to inspect the contents of Redis keys. Look for unexpected or suspicious data structures.

1. 2017-12-06Disclosure

   disclosure

1. Publiée2017-12-06
2. Modifiée2024-02-16
3. EPSS mis à jour2026-04-02

La solution principale est de mettre à jour redis-store vers la version 1.4.0 ou supérieure. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre l'accès à Redis uniquement aux applications de confiance. Vérifiez également la configuration de Redis pour vous assurer qu'il n'accepte que les connexions provenant de sources autorisées. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une surveillance accrue des connexions Redis est recommandée. Après la mise à jour, vérifiez l'intégrité de la bibliothèque redis-store en comparant son hachage SHA256 avec celui fourni par le développeur.