redis-store deserialiseert onbetrouwbare data

De impact van deze kwetsbaarheid is significant. Een succesvolle exploitatie kan leiden tot de uitvoering van willekeurige code op het systeem waar redis-store draait. Dit betekent dat een aanvaller de controle over de applicatie kan overnemen, gevoelige data kan stelen of wijzigen, en mogelijk toegang kan krijgen tot andere systemen binnen het netwerk. De kwetsbaarheid is vergelijkbaar met scenario's waarbij deserialisatie van onvertrouwde data wordt misbruikt om code-uitvoering te bereiken. De ernst van de impact wordt versterkt door het feit dat Redis vaak wordt gebruikt voor caching en sessiebeheer, wat betekent dat een compromis van Redis direct de applicatie en de gebruikersgegevens kan beïnvloeden.

Ruby applications that rely on the redis-store gem for data persistence are at risk. This includes web applications, background workers, and any other Ruby processes using Redis as a data store. Specifically, applications with weak Redis access controls or those that do not properly validate data stored in Redis are particularly vulnerable.

• ruby / gem: Check gem versions using gem list redis-store. If the version is ≤1.3.0, the system is vulnerable. • ruby / application: Review application code for any instances where data is loaded from Redis using redis-store and not properly validated. • generic web: Monitor Redis logs for unusual activity or attempts to inject data. Look for patterns indicative of malicious payloads. • database (redis): Use redis-cli to inspect the contents of Redis keys. Look for unexpected or suspicious data structures.

1. 2017-12-06Disclosure

   disclosure

1. Gepubliceerd2017-12-06
2. Gewijzigd2024-02-16
3. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden naar versie 1.4.0 of hoger van redis-store. Indien een directe upgrade niet mogelijk is, overweeg dan het implementeren van een WAF (Web Application Firewall) die de inkomende data filtert op potentieel schadelijke payloads. Controleer de Redis configuratie om te zorgen dat de 'unsafe ops' zijn uitgeschakeld. Monitor Redis logs op ongebruikelijke activiteit en deserialisatie pogingen. Na de upgrade, verifieer de fix door te proberen een onveilig object te laden via redis-store en te controleren of dit wordt afgewezen.