[방어] 분석 — CVE-2022-0543

• 심각도 critical · CVSS 10.0 · EPSS 0.99277 · 악용난이도 easy · KEV

• 공격 경로: 외부 또는 내부 네트워크를 통해 Redis 인스턴스의 EVAL 및 EVALSHA 명령어로 접근합니다.
• 핵심 원리: Debian 특정 패키징 이슈로 인해 Lua 샌드박스가 불완전하게 구현되었습니다. 공격자는 이를 통해 제한된 환경을 탈출(Escape)하여 호스트 OS의 표준 라이브러리 함수에 접근할 수 있습니다.
• 실행 단계: Unauthenticated Access $\rightarrow$ Lua Script Execution (EVAL) $\rightarrow$ Sandbox Escape $\rightarrow$ Remote Code Execution (RCE).

악용 가능성: 본 취약점은 네트워크를 통해 인증 없이 접근 가능한 Redis 엔드포인트가 노출되어 있을 때 최악의 시나리오로 이어지는 RCE 취약점으로, 공격 난이도는 매우 낮습니다(Easy). CVSS 벡터상 AV:N/AC:L/PR:N/UI:N으로 나타나듯, 특수 권한이나 사용자 상호작용 없이 외부에서 TCP 포트를 통해 직접적으로 트리거할 수 있는 구조입니다. 특히 Debian 패키징 이슈로 인한 Lua Sandbox Escape가 핵심이며, 공격자는 Redis의 Lua 스크립팅 인터페이스를 통해 샌드박스를 탈출하여 OS 명령어를 실행하는 공격 표면을 가집니다. EPSS 수치가 0.99277에 달하고 KEV(Known Exploited Vulnerabilities)에 등재되었다는 점은, 이 취약점이 단순한 이론적 가능성을 넘어 이미 실제 야생(In-the-wild)에서 광범위하게 악용되고 있음을 증명합니다. 따라서 공격자는 복잡한 페이로드 구성 없이 공개된 익스플로잇을 통해 즉각적으로 시스템 권한을 획득할 수 있어, 악용 가능성이 극도로 높은 상태입니다.

• 호스트 제어권 획득: Redis 프로세스 실행 계정 권한으로 임의 OS 명령어를 실행할 수 있습니다. 특히 root 권한으로 실행 중인 경우 시스템 전체가 즉시 장악됩니다.
• 내부망 거점화: RCE 성공 후, 해당 서버를 공격 기점으로 삼아 내부 네트워크 내 다른 자산으로 이동하는 Lateral Movement의 핵심 교두보로 활용될 가능성이 매우 높습니다.

• 인증 부재 체이닝: protected-mode가 비활성화되었거나 requirepass 설정이 없는 경우, 공격자가 인증 단계 없이 즉시 RCE 시도로 진입할 수 있어 위험도가 극대화됩니다.
• 권한 상승: OS 레벨의 샌드박스(AppArmor 등)가 부재하거나 Redis가 고권한 계정으로 동작할 때, 탈출 직후 추가 권한 상승 과정 없이 바로 최고 권한을 획득합니다.

다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, 특히 EPSS 0.99277이라는 실측 기반 수치는 이론적 심각도(CVSS)와 별개로 실제 공격 시도가 매우 빈번함을 의미합니다.

• 로그 지표 및 위치: Redis SLOWLOG, 감사 로그(Audit Log), IDS/IPS의 TCP 페이로드(Port 6379).
• 탐지 규칙 예시:
  1. Lua 샌드박스 탈출 함수 호출 탐지 (SIEM 의사코드):
     • SELECT timestamp, src_ip, payload FROM redis_logs WHERE command IN ('EVAL', 'EVALSHA') AND payload REGEXP '(?i)(os\.execute|io\.popen|package\.loadlib|require)'
     • 조건: EVAL 계열 명령어 내에 OS 명령 실행 및 외부 라이브러리 로드와 관련된 Lua 표준 함수 호출 패턴이 포함된 경우 즉시 경보.
  2. 비정상적 페이로드 정규식 (IDS/IPS):
     • 패턴: /(EVAL|EVALSHA).*(package\.loadlib|os\.execute|io\.popen|require)/i
     • 필드: TCP Payload / Port 6379
  3. 인증 없는 외부 접근 및 스크립트 실행 시도:
     • SELECT source_ip, count(*) FROM redis_logs WHERE (status = 'AUTH_FAILED' OR command = 'EVAL') GROUP BY source_ip HAVING count > 5 WITHIN 1m
     • 조건: 단시간 내 인증 실패와 동시에 EVAL 명령을 시도하는 외부 IP 식별.
• 오탐 튜닝:
  • 화이트리스트: 정상 애플리케이션이 사용하는 Lua 스크립트의 Hash(EVALSHA) 목록을 추출하여 제외 처리합니다.
  • 신뢰 구역 설정: 내부 모니터링 도구 및 신뢰된 App Server IP는 source_ip 기반으로 필터링하여 노이즈를 제거합니다.

KEV(Known Exploited Vulnerabilities) 등재 및 EPSS 수치를 근거로 immediate (24h 내) 대응을 권고합니다.

• 즉시(긴급 차단) - 오늘 당장 막을 방법:
  • 조치: redis.conf에 rename-command EVAL "" 및 rename-command EVALSHA "" 설정을 추가하여 해당 명령어 자체를 비활성화하고 재시작 (또는 CONFIG SET 사용).
  • 난이도: 매우 낮음 / 운영 영향: Lua 스크립트를 사용하는 앱 기능 중단(가용성 저하) / 검증: redis-cli에서 EVAL 호출 시 (error) ERR unknown command 반환 확인.
• 단기(완화):
  • 네트워크 격리: Redis 포트(6379)에 대해 신뢰된 Application Server IP만 허용하도록 ACL/방화벽 설정 (내부망 Lateral Movement 차단).
  • 설정 강화: protected-mode yes 강제 적용 및 강력한 비밀번호(requirepass) 설정.
  • 난이도: 보통 / 운영 영향: 네트워크 구성 변경에 따른 통신 테스트 필요 / 검증: 비인가 IP에서 접속 시 Timeout 또는 Reject 확인.
• 근본(해결):
  • 조치: Debian/Ubuntu 기반 시스템의 Redis 패키지를 최신 보안 패치 버전으로 업그레이드.
  • 난이도: 보통 / 운영 영향: 서비스 재시작에 따른 일시적 순단 발생 / 검증: apt-cache policy redis-server 등을 통해 패치된 버전 적용 여부 확인.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99277 · exploit=easy · in_scope=None