Redis服务器不受密码验证的保护漏洞修复方案.docxVIP

Redis服务器不受密码验证的保护漏洞修复方案 深信服科技股份有限公司 漏洞详情信息 漏洞名称 Redis服务器不受密码验证的保护漏洞 漏洞等级 高 漏洞描述 远程主机上运行的 Redis 服务器不受密码验证保护。本地攻击者可利用此问题获得未经授权的服务器访问权限。 漏洞影响 远程攻击者可利用此问题获取受影响系统的管理访问权限 漏洞修复方案 免责声明： 本文档所提供的修复方案,均以官方提供的方案作为最佳方案，其次是针对漏洞原理进行修复的临时解决方案。修复方案中涉及的补丁下载链接均为官方提供的链接，若补丁存在任何异常问题，深信服科技股份有限公司不承担相应责任。 修复建议 方案一 修复原理： 在 redis.conf 配置文件中启用 ‘requirepass’ 条例。修复风险： 修改配置后，必须使用认证密码连接Redis，需要连接Redis数据库的业务代码， 也必须同步修改连接方式。 建议 建议在测试环境试验后，再对生产环境进行修复 修复依据 https://redis.io/commands/auth 1、方案一(设置密码) 方案描述 在 redis.conf 配置文件中启用 ‘requirepass’ 条例。 修复流程 修改配置文件 重启Redis 完成 风险概述 修改配置后，必须使用认证密码连接Redis，需要连接Redis数据库的业务代码，也必须同步修改连接方式。 修复依据 https://redis.io/commands/auth 操作前提 无 具体操作步骤如下： 步骤1 修改配置文件打开配置文件 vi /etc/redis.conf 找到 # requirepass ，取消注释并在后面加上密码 如：requirepass password 步骤2 重启Redis1）yum安装的Redis Systemctl restart redis 源码安装的Redis 关闭Redis redis-cli shutdown 启动Redis redis-sever /etc/redis.conf 附件 无 文档说明 本文档针对Redis服务器不受密码验证的保护漏洞，提供以上整改建议。 版权声明： 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属深信服所有，受到有关产权及版权法保护。任何个人、机构未经深信服的书面授权许可，不得以任何方式复制或引用本文的任何片断。