Trusted Design

CVE-2022-0543 の詳細

CVEの情報

説明:
It was discovered, that redis, a persistent key-value database, due to a packaging issue, is prone to a (Debian-specific) Lua sandbox escape, which could result in remote code execution.

CVE更新日: 2022-02-18 20:15:17.583000

CVSSバージョン: 3.1

CVSSスコア: 10.0

KEVの情報

KEV更新日: 2022-03-28

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.993510000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-0543に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2022-0543は、RedisのLuaサンドボックスエスケープに起因するリモートコード実行（RCE）の脆弱性です。この脆弱性は、Redis自体ではなく、DebianベースのシステムでのRedisパッケージングに起因するものです。

Debian系のディストリビューションでは、RedisがLuaライブラリと動的にリンクされる形でパッケージされており、これにより本来のLuaサンドボックスの隔離メカニズムが破綻してしまいます。結果として、攻撃者はRedisのLuaサンドボックスを回避し、基盤となるシステム上でRedisサーバープロセスと同じ権限で任意のコードを実行することが可能になります。

1.1 影響

この脆弱性が悪用されると、攻撃者は以下のことが可能になります。 * Luaサンドボックスから脱出する。 * Redisが動作しているホスト上で任意のシステムコマンドを実行する。 * Redisに保存されている機密データを侵害する。 * サーバー上で任意のコードを実行し、システム全体の完全な制御を獲得する可能性がある。 * Redisが外部に公開されている場合、内部ネットワークへの侵入の足がかりとなる可能性がある。

1.2 深刻度

CVE-2022-0543のCVSSv3スコアは10.0（Critical/緊急）と評価されています。 * 攻撃元区分 (Attack Vector): ネットワーク (Network) * 攻撃の複雑さ (Attack Complexity): 低 (Low) * 必要な特権レベル (Privileges Required): 不要 (None) * ユーザー関与 (User Interaction): 不要 (None) * 影響 (Impact): 機密性、完全性、可用性の完全な侵害 (Full compromise of confidentiality, integrity, and availability)

2. 対象となる環境

この脆弱性は、Redisのアップストリーム版ではなく、DebianベースのLinuxディストリビューションにおけるRedisのパッケージングの問題に特有のものです。

2.1 影響を受けるOSバージョン

  • Debian Linux 9.0 (Stretch)、10.0 (Buster)、11.0 (Bullseye)
  • Canonical Ubuntu Linux 20.04 LTS および 21.10
  • パッチ適用前のバージョンのUbuntu Linux
  • 脆弱なDebianパッケージングを使用してビルドされたRedisパッケージ

具体的に影響を受けるRedisのバージョンは以下の通りです。 * Redis 5.x系列の5.0.14未満のバージョン * Redis 6.x系列の6.0.16未満のバージョン * Redis 7.x系列の7.0-rc2未満のバージョン

2.2 影響を受ける設定

この脆弱性が悪用されるには、以下の条件が必要です。 * Redisとネットワーク経由でやり取りできること（ネットワークアクセス）。 * RedisのEVALコマンドを使用してLuaスクリプトを実行または注入できること。 * 一部の設定ミスがあるデプロイメント（例: 認証なしでRedisサーバーが公開されている場合）では、認証なしで攻撃が可能です。

3. 影響を受けた時の兆候

残念ながら、この攻撃に特化したRedis独自の侵害の痕跡（IOC）は知られていません。 デフォルトでは、Redisは/var/log/redis/redis-server.logにログを出力しますが、この攻撃に関する情報は記録されないとされています。

ただし、検出としては、脆弱なLuaライブラリがio.popenを呼び出して任意のコマンドを実行する際に、LibCライブラリのオープンを監視することが挙げられます。

4. 推奨対策

4.1 本対策

  • 公式のセキュリティリポジトリからRedisパッケージを更新する。
    • Debianユーザーは、Debian Security Advisory: DSA-5081 に従って更新してください。
    • Ubuntuユーザーは、パッチが適用されたリリースへのセキュリティアップデートを適用してください。
  • 影響を受けるRedisのバージョンを使用している場合は、記載されている修正済みバージョン（Redis 5.0.14以上、6.0.16以上、7.0-rc2以上など）へアップグレードを検討してください。

4.2 暫定回避策（緩和策）

  • Redisインスタンスがインターネットに公開されていないことを確認する。 認証なしでRedisが公開されている構成は避けるべきです。
  • Redisアクセスに強力な認証を実装する。
  • Redisサーバーへのネットワークアクセスを信頼できるクライアントのみに制限する。
  • ファイアウォールを使用してアクセスを制限することを検討する。

参照元

NVDサイト

NVDでCVEの詳細を見る

戻る