[분석가] 분석 — CVE-2022-0543

• 심각도 critical · CVSS 10.0 · EPSS 0.99277 · 악용난이도 easy · KEV

• Redis 패키지의 Debian‑specific 구성 오류로 Lua 스크립트 샌드박스가 우회됨.
• 네트워크를 통해 직접 접속(AV:N)하고 인증 없이(PR:N) 악용 가능하며, UI 요구 없음(UI:N).
• 공격자는 특수 Lua 코드를 전달해 Redis 서버 내부에서 시스템 쉘을 호출, 루트 권한으로 명령 실행.

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근 가능한 Redis 인스턴스(AV:N)에서 복잡도가 낮은 단계(L: AC)와 인증·사용자 개입이 전혀 필요하지 않은 조건(PR:N, UI:N)으로 원격 코드 실행을 가능하게 합니다. EPSS 값 0.99277은 실제 공격이 발생할 확률이 매우 높다는 통계적 근거이며, KEV에 등재된 점은 이미 악용 사례가 관측되었음을 의미합니다. 공격자는 기본 포트 6379(또는 노출된 커스텀 포트)로 서비스에 연결한 뒤, 패키징 오류로 인한 Lua 샌드박스 탈출을 유도하는 특수 명령어를 전송하면 됩니다. 따라서 공격 표면은 “Redis 서버가 외부 네트워크에 공개돼 있거나 방화벽 규칙이 완화된 환경”이며, 해당 엔드포인트와 Lua 스크립팅 기능이 그대로 노출될 경우 바로 악용이 가능합니다. 이러한 조건을 모두 만족한다면, 실제 위협 수준은 이론적 심각도와 일치하게 매우 높다고 평가할 수 있습니다.

• 기술적 위험: 성공 시 전체 시스템 장악·임의 명령 실행(RCE), 파일 시스템 접근·데이터 탈취·서비스 중단·다른 서비스로 횡적 이동 가능.
• 비즈니스 리스크: 가용성 손실(서비스 다운타임), 규제·컴플라이언스 위반(민감 데이터 유출 시), 고객 신뢰도 하락.
• 영향 제품·노출 규모: redis 패키지가 포함된 Debian, Ubuntu 배포판 전반에 존재하며, 해당 OS 기반 서버·컨테이너 이미지가 광범위하게 사용됨([교차검증] 다중 소스에서 일관성 확인).
• 실제 악용 가능성: EPSS 0.99277(높은 실제 악용 확률)와 KEV 등재·exploit easy 등급을 근거로 즉시 위협으로 판단([실측 악용예측]).

• 추정: 동일 계열의 Lua 샌드박스 우회(CWE‑284/Unauthorized Access) 혹은 패키지 구성 오류(CWE‑362/Concurrent Execution) 와 결합될 경우 권한 상승·서비스 거부 공격으로 연계 가능.
• 다른 취약점과 체이닝 시, 초기 RCE 후 내부 네트워크 탐색·추가 서비스 침투(예: SSH 크리덴셜 탈취) 위험이 존재.

• Redis 로그에서 비정상적인 EVAL/SCRIPT LOAD 호출이나 예상치 못한 파일 경로 접근 기록.
• 시스템 감시 도구에서 redis-server 프로세스가 자식 쉘(sh, bash)을 생성하는 이벤트.
• IDS/IPS 규칙: 6379 포트에 대한 비정상적인 명령 시퀀스(예: CONFIG SET dir /tmp; CONFIG SET dbfilename malicious.lua; MODULE LOAD ...).

• 즉시 조치: 외부에서 Redis 접근 차단(방화벽), bind 127.0.0.1 설정, 인증(requirepass) 적용, rename-command EVAL "" 로 Lua 실행 비활성화.
• 근본 해결: 공급업체가 제공하는 최신 패치 버전으로 즉시 업데이트([우선순위 결정] immediate). 패키지 매니저(apt-get update && apt-get upgrade redis) 사용.
• 대안: 취약한 Redis를 사용 중인 컨테이너·이미지를 교체하거나, 소스 컴파일 시 샌드박스 옵션을 명시적으로 활성화.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.99277 · exploit=easy · in_scope=None