CVE-2022-0543
Debian-specific Redis Server Lua Sandbox Escape Vulnerability
Beschreibung
CVE-2022-0543 ist eine Lua-Sandbox-Escape-Schwachstelle in Redis, wie es von Debian und Debian-basierten Linux-Distributionen paketiert wird, die es entfernten Angreifern ermöglicht, beliebigen Code auf dem Redis-Server auszuführen. Die Schwachstelle resultiert aus der Debian-spezifischen Paketierung von Redis, die versehentlich Luas Package-Modul exponierte und damit die Sandbox brach, die die Skriptausführung einschränken soll. Sie wurde in den CISA Known Exploited Vulnerabilities (KEV)-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 97,3 % (99,9. Perzentil) wird diese Schwachstelle umfassend von Malware- und Botnet-Betreibern ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| redis | redis | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/166885/Redis-Lua-Sandbox-Escape.html(Exploit, Third Party Advisory, VDB Entry)
- https://bugs.debian.org/1005787(Issue Tracking, Patch, Third Party Advisory)
- https://lists.debian.org/debian-security-announce/2022/msg00048.html(Mailing List, Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20220331-0004/(Third Party Advisory)
- https://www.debian.org/security/2022/dsa-5081(Mailing List, Third Party Advisory)
- https://www.ubercomp.com/posts/2022-01-20_redis_on_debian_rce(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-0543(US Government Resource)
Schwachstellentyp
CWE-265: Privilegienprobleme
Diese Schwachstelle betrifft die unsachgemäße Handhabung von Privilegien, die zu unbefugtem Zugriff oder Codeausführung führen kann. Bei CVE-2022-0543 versäumte die Debian-Paketierung von Redis, die Lua-Sandbox-Beschränkungen ordnungsgemäß aufrechtzuerhalten, wodurch Skripte aus der Sandbox entkommen und beliebige Systembefehle ausführen konnten. Weitere Details unter CWE-265.
Auswirkungsanalyse
Eine erfolgreiche Ausnutzung ermöglicht es Angreifern, beliebige Betriebssystembefehle auf dem Redis-Server mit den Privilegien des Redis-Prozesses auszuführen. Da Redis häufig als Cache, Message Broker oder Datenbank in Webanwendungsarchitekturen verwendet wird, kann die Kompromittierung des Redis-Servers gecachte Anmeldeinformationen, Session-Token und sensible Anwendungsdaten offenlegen. Angreifer nutzen kompromittierte Redis-Instanzen häufig, um zu anderen Systemen in der Anwendungsinfrastruktur zu pivotieren, Kryptominer bereitzustellen oder persistenten Backdoor-Zugang einzurichten. Die Schwachstelle ist besonders wirkungsvoll in Cloud-Umgebungen, in denen Redis als gemeinsamer Dienst über mehrere Anwendungen hinweg genutzt wird.
Exploit-Reifegrad
CVE-2022-0543 wurde am 28. März 2022 in den CISA-KEV-Katalog aufgenommen, was aktive Ausnutzung bestätigt. Der EPSS-Score von 97,3 % (99,9. Perzentil) spiegelt extrem weit verbreitete Ausnutzung wider. Innerhalb von Tagen nach der Veröffentlichung begannen das Muhstik-Botnet und andere Malware-Kampagnen, diese Schwachstelle aktiv auszunutzen, um Redis-Server für Kryptomining und DDoS-Angriffe zu kompromittieren. Öffentlicher Exploit-Code ist leicht verfügbar und die Ausnutzung ist unkompliziert, erfordert nur die Fähigkeit, Befehle an den Redis-Server zu senden.
Behebung
- Aktualisieren Sie das Redis-Paket auf Debian-basierten Systemen (Debian, Ubuntu usw.) auf die gepatchte Version der Distribution, wie vom CISA-KEV-Katalog gefordert.
- Beschränken Sie den Netzwerkzugriff auf Redis, indem Sie es nur an localhost oder vertrauenswürdige Schnittstellen binden und Firewall-Regeln zur Blockierung unbefugten Zugriffs implementieren.
- Aktivieren Sie die Redis-Authentifizierung über die requirepass-Konfigurationsdirektive, um unbefugte Befehlsausführung zu verhindern.
- Deaktivieren oder beschränken Sie die EVAL- und EVALSHA-Befehle, wenn Lua-Scripting für Ihre Anwendung nicht benötigt wird.
- Überwachen Sie Redis-Logs und Systemaktivität auf Ausnutzungsanzeichen, einschließlich unerwarteter Lua-Skriptausführung, neuer ausgehender Verbindungen und ungewöhnlicher CPU-Nutzungsmuster.
Technische Details
Die Schwachstelle ist spezifisch für die Art, wie Debian Redis paketiert, nicht für das Upstream-Redis selbst. Beim Erstellen des Redis-Pakets verlinkt Debians Build-Prozess Redis gegen die System-Lua-Bibliothek statt der gebündelten Version. Diese Paketierungsentscheidung exponierte versehentlich das Lua-Package-Modul innerhalb der Redis-Lua-Sandbox. Im Standard-Redis entfernt die Lua-Sandbox den Zugriff auf gefährliche Module wie package und os. Der Debian-Build ließ jedoch die Funktion package.loadlib zugänglich, die das Laden beliebiger gemeinsam genutzter Bibliotheken ermöglicht. Ein Angreifer kann die loadlib-Funktion verwenden, um liblua5.1.so zu laden, auf die os.execute-Funktion zuzugreifen und beliebige Shell-Befehle auf dem Server auszuführen. Der Exploit erfordert nur die Fähigkeit, EVAL-Befehle an den Redis-Server zu senden.
Häufig gestellte Fragen
Was ist CVE-2022-0543?
CVE-2022-0543 ist eine Lua-Sandbox-Escape-Schwachstelle, die spezifisch für Debian-paketiertes Redis ist. Sie ermöglicht es Angreifern, aus der Lua-Scripting-Sandbox auszubrechen und beliebige Betriebssystembefehle auf dem Redis-Server auszuführen.
Welche Redis-Installationen sind betroffen?
Nur Redis-Installationen auf Debian und Debian-basierten Distributionen (Ubuntu, Linux Mint usw.), die die distributionspaketierte Version von Redis verwenden, sind betroffen. Redis, das aus dem Quellcode installiert wurde, aus den offiziellen Redis-Repositories oder auf Nicht-Debian-Distributionen läuft, ist nicht betroffen.
Betrifft dies Redis in Docker?
Es kommt auf das Docker-Image an. Offizielle Redis-Docker-Images basieren auf Debian, bauen Redis aber typischerweise aus dem Quellcode, was nicht betroffen ist. Docker-Images, die Redis aus dem Debian-Paket-Repository installieren, könnten jedoch verwundbar sein.
Kann dies remote ausgenutzt werden?
Ja, wenn der Redis-Server über das Netzwerk erreichbar ist. Redis wird häufig ohne Authentifizierung exponiert, was es von jedem Angreifer, der den Netzwerkport erreichen kann, direkt ausnutzbar macht. Auch mit Authentifizierung kann jeder authentifizierte Benutzer diese Schwachstelle über EVAL-Befehle ausnutzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.