「Redis」の脆弱性を狙いファイルのアップロードを試すアクセスを観測(警察庁) | ScanNetSecurity
2021.04.22(木)

「Redis」の脆弱性を狙いファイルのアップロードを試すアクセスを観測(警察庁)

警察庁は、オープンソースのNoSQLデータベースである「Redis」を標的としたアクセスを観測したとして、「@police」において注意喚起を発表した。

脆弱性と脅威 脅威動向
警察庁は1月13日、オープンソースのNoSQLデータベースである「Redis」を標的としたアクセスを観測したとして、「@police」において注意喚起を発表した。Redisの開発者は2015年11月4日、インターネットに接続されているRedisが不正に操作され、外部からファイルを蔵置される危険性についてWebサイトで公表し、その危険性を実証するための具体的な手順や使用するコマンド等の手法も示されていた。また当該手法により、外部からSSHの公開鍵が蔵置された場合、SSHによる接続を許してしまうという。

警察庁の定点観測システムでは、2015年11月14日から、同サイトで示された危険性に係る手法の特徴を有するアクセスを観測した。これらのアクセスを分析したところ、Redisが稼動しているサーバ上にファイルの蔵置を試みていると考えられる複数のコマンドが含まれていた。同庁では、Redisを外部に公開している場合には、適切なアクセス制限やパスワードを設定し、ユーザの権限を必要最小限にとどめるなどの対策を推奨している。
《吉澤 亨史( Kouji Yoshizawa )》

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

★★会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×