#### 해결 방법 (업그레이드 없이)

**방법 1 — ACL을 통한 차단(권장):**```bash
# Chặn toàn bộ nhóm lệnh blocking
redis-cli ACL SETUSER default -@blocking

# Hoặc chặn từng lệnh cụ thể
redis-cli ACL SETUSER default -BLPOP -BRPOP -BRPOPLPUSH -BLMOVE -BLMPOP \
                              -BZPOPMIN -BZPOPMAX -BZMPOP \
                              -WAIT -WAITAOF \
                              -XREAD -XREADGROUP

# Lưu ACL
redis-cli ACL SAVE

**방법 3 — protected-mode 활성화 및 연결 제한:**```bash
redis-cli CONFIG SET protected-mode yes
# Trong redis.conf:
protected-mode yes
bind 127.0.0.1

**방법 2 — RESTORE 비활성화 (Redis 재시작 필요):**```bash
# Thêm vào redis.conf:
rename-command RESTORE ""

---

### CVE-2026-25588

| 속성          | 값                                                               |
| ------------- | ---------------------------------------------------------------- |
| **제목**      | RedisTimeSeries 모듈의 RESTORE에서 잘못된 메모리 액세스           |
| **CVSS 4.0**  | **7.7 (HIGH)**                                                   |
| **CWE**       | CWE-20 + CWE-122                                                 |
| **벡터**      | `AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`         |
| **조건**      | 인증됨 + RESTORE 권한 + **RedisTimeSeries 모듈 로드됨**          |
| **범위**      | Redis OSS/CE + RedisTimeSeries 모듈                              |

#### 기술 설명

**RedisTimeSeries 모듈**이 로드된 인스턴스에서 `RESTORE` 명령이 사용될 때, 특수하게 설계된 직렬화된 페이로드가 time-series 데이터 처리 중 잘못된 메모리 액세스를 트리거할 수 있습니다. 이 취약점은 RedisTimeSeries 모듈이 RESTORE 페이로드에서 데이터를 역직렬화하는 방식에 있습니다.

#### 식별 징후

- RedisTimeSeries 모듈과 관련된 스택 추적과 함께 Redis 크래시 발생
- RedisTimeSeries 모듈이 로드됨 (`MODULE LIST`에 timeseries 표시)
- redis-server에 의한 예상치 못한 명령 실행

#### 완화 방법 (업그레이드 없이)

**방법 1 — ACL을 통한 RESTORE 차단:** (CVE-2026-25243과 동일)```bash
redis-cli ACL SETUSER default -restore
redis-cli ACL SAVE

그런 다음 `redis.conf`에서 다음 줄을 삭제하세요:```
loadmodule /path/to/redistimeseries.so

### CVE-2026-25589

| 속성        | 값                                                                             |
| ----------- | ------------------------------------------------------------------------------ |
| **제목**    | RedisBloom 모듈의 RESTORE에서 잘못된 메모리 액세스                              |
| **CVSS 4.0**| **7.7 (HIGH)**                                                                 |
| **CWE**     | CWE-20 + CWE-122 + CWE-787 (Out-of-Bounds Write) + CWE-190 (Integer Overflow)  |
| **벡터**    | `AV:N/AC:H/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`                       |
| **조건**    | 인증됨 + RESTORE 권한 + **RedisBloom 모듈이 로드됨**                            |
| **범위**    | Redis OSS/CE + RedisBloom 모듈                                                  |

#### 기술 설명

이 취약점은 RedisBloom 모듈이 RESTORE 페이로드를 처리할 때 발생하는 여러 하위 문제를 포함합니다:

1. **Out-Of-Bounds read/write** (Daniel Firer) — 할당된 메모리 범위를 벗어난 읽기/쓰기
2. **Integer overflow, heap buffer overflow 및 OOB read/write** (Joseph Surin) — 정수 오버플로로 인한 힙 버퍼 오버플로

RedisBloom 모듈이 로드되면, 공격자는 Bloom filter, Cuckoo filter, Count-Min Sketch 또는 Top-K 데이터를 역직렬화하는 과정에서 위 오류를 악용하도록 특별히 설계된 RESTORE 페이로드를 보낼 수 있습니다.

#### 탐지 징후

- RedisBloom 모듈과 관련된 스택 트레이스와 함께 Redis 크래시
- RedisBloom 모듈이 로드됨 (`MODULE LIST`에 bf/bloom 표시)
- Bloom filter의 데이터가 손상되거나 비정상적으로 변경됨

#### 해결 방법 (업그레이드 없이)

**방법 1 — ACL로 RESTORE 차단:** (CVE-2026-25243과 동일)```bash
redis-cli ACL SETUSER default -restore
redis-cli ACL SAVE

그런 다음 `redis.conf`에서 다음 줄을 삭제하세요:```
loadmodule /path/to/redisbloom.so

---

### CVE-2026-23631

| 속성          | 값                                                               |
| ------------- | ---------------------------------------------------------------- |
| **제목**      | 마스터-레플리카 동기화를 통한 Lua Use-After-Free                 |
| **CVSS 4.0**  | **6.1 (MEDIUM)**                                                 |
| **CWE**       | CWE-416 (Use After Free)                                         |
| **벡터**      | `AV:N/AC:H/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N`         |
| **조건**      | 인증됨 + **replica** 및 `replica-read-only` = **disabled**       |
| **범위**      | Lua 스크립팅을 사용하는 모든 Redis OSS/CE, replica에서만         |
| **코드명**    | "DarkReplica" (Yoni Shiraz, Wiz Zeroday Cloud)                   |

#### 기술 설명

인증된 공격자는 마스터-레플리카 동기화 메커니즘을 악용하여 특수한 Lua 스크립트를 전송하고, replica의 Lua 엔진에서 use-after-free를 트리거할 수 있습니다.

**중요 조건:** 이 버그는 `replica-read-only disabled`(즉, 쓰기 가능한 replica)로 구성된 **replica에만 영향을 미칩니다**. 이는 기본 구성이 아닙니다 — 기본값은 `replica-read-only` = `yes`입니다.

replica가 읽기 전용 모드(기본값)로 구성된 경우, 해당 인스턴스는 **영향을 받지 않습니다**.

#### 감지 징후

- Lua 엔진의 스택 트레이스와 함께 replica에서 Redis 크래시 발생
- replica에서 `replica-read-only` = `no` 구성
- replica에서 알 수 없는 명령 실행
- replica에 대한 허용되지 않은 네트워크 연결

#### 완화 방법 (업그레이드 없이)

**방법 1 — replica-read-only 활성화(권장, 기본값):**```bash
# Runtime
redis-cli CONFIG SET replica-read-only yes

# Trong redis.conf:
replica-read-only yes

**방법 3 — Lua 명령 비활성화 (Redis 재시작 필요):**```bash
# Thêm vào redis.conf:
rename-command EVAL ""
rename-command EVALSHA ""
rename-command SCRIPT ""
rename-command FUNCTION ""
rename-command FCALL ""
rename-command FCALL_RO ""

### 시스템 요구 사항

- **운영 체제:** Linux (Ubuntu, Debian, CentOS, RHEL, ...)
- **도구:** `redis-cli` (일반적으로 `redis-tools` 또는 `redis` 패키지에 포함됨)
- **권한:** `redis.conf` 파일 읽기/쓰기 권한 (수정용)
- **연결:** 점검 대상 Redis 인스턴스에 대한 네트워크 연결

### redis-cli 설치 (아직 없는 경우)```bash
# Ubuntu/Debian
sudo apt update && sudo apt install -y redis-tools

# CentOS/RHEL 7
sudo yum install -y redis

# CentOS/RHEL 8+/Fedora
sudo dnf install -y redis

# Hoặc từ source
wget https://download.redis.io/releases/redis-stable.tar.gz
tar xzf redis-stable.tar.gz
cd redis-stable && make redis-cli
sudo cp src/redis-cli /usr/local/bin/

#### 2. 전체 CVE 스캔 (진단)```bash
# Local Redis
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --scan

# Redis từ xa
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --scan \
    -H 192.168.1.100 -p 6379 -a "your_password"

# Với ACL user
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --scan \
    -H 10.0.0.50 -p 6380 -u admin -a "admin_password"

# Qua Unix socket
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --scan \
    -s /var/run/redis/redis-server.sock

# Kèm xuất báo cáo
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --scan \
    -o redis_cve_report_$(date +%Y%m%d).txt

#### 4. 그룹별 빠른 수정 (권장)```bash
# Chan RESTORE → bao ve 3/5 CVE (25243 + 25588 + 25589)
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --fix-restore

# Chan blocking commands → bao ve CVE-2026-23479
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --fix-blocking

# Chan Lua + bat replica-read-only → bao ve CVE-2026-23631
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --fix-lua

### 전체 매개변수 표

#### 작업(ACTION) 매개변수 — 필수

| 매개변수           | 기능                                    | 보호되는 CVE 수              |
| ----------------- | -------------------------------------------- | ----------------------------- |
| *(매개변수 없음)* | 사용 안내 표시                   | —                             |
| `--scan`          | 전체 5개 CVE 진단 스캔                 | —                             |
| `--fix-all`       | 모든 CVE 수정                         | **5/5**                       |
| `--fix-restore`   | **[빠름]** RESTORE 명령만 차단            | **3/5** (25243, 25588, 25589) |
| `--fix-blocking`  | **[빠름]** blocking 명령만 차단       | **1/5** (23479)               |
| `--fix-lua`       | **[빠름]** Lua 차단 + replica-read-only 활성화 | **1/5** (23631)               |
| `--fix-cve-23479` | CVE-2026-23479 수정                     | 1/5                           |
| `--fix-cve-25243` | CVE-2026-25243 수정                     | 1/5                           |
| `--fix-cve-25588` | CVE-2026-25588 수정                     | 1/5                           |
| `--fix-cve-25589` | CVE-2026-25589 수정                     | 1/5                           |
| `--fix-cve-23631` | CVE-2026-23631 수정                     | 1/5                           |

#### 연결 매개변수

| 매개변수             | 설명                 | 기본값    |
| ------------------- | --------------------- | ----------- |
| `-H, --host HOST`   | Redis 호스트 주소    | `127.0.0.1` |
| `-p, --port PORT`   | Redis 포트            | `6379`      |
| `-a, --pass PASS`   | Redis 비밀번호        | *(비어 있음)*    |
| `-u, --user USER`   | ACL 사용자 이름    | `default`   |
| `-s, --socket PATH` | Unix 소켓 경로 | *(비어 있음)*    |

#### 추가 매개변수

| 매개변수             | 설명                                  | 기본값                |
| ------------------- | -------------------------------------- | ----------------------- |
| `-h, --help`        | 도움말 표시                      | —                       |
| `-c, --config FILE` | redis.conf 경로                   | `/etc/redis/redis.conf` |
| `-o, --output FILE` | 보고서를 파일로 저장 (`--scan`에서만) | *(비어 있음)*                |
| `--redis-cli PATH`  | redis-cli 바이너리 경로             | `redis-cli` (PATH에서)   |
| `--no-backup`       | 수정 전 config 백업 안 함      | `false`                 |

### 종료 코드 (Exit Codes)

| 코드  | 의미                                               |
| --- | ----------------------------------------------------- |
| `0` | 성공 — CVE 미감지 또는 수정 완료    |
| `1` | 오류: redis-cli를 찾을 수 없거나 연결 실패 |
| `2` | `--scan`이 최소 1개 CVE 감지 — 수정 필요      |

### 스캔(`--scan`) 시 출력 결과```
╔══════════════════════════════════════════════════════════════════════╗
║    REDIS CVE SCANNER & MITIGATION TOOL                               ║
╚══════════════════════════════════════════════════════════════════════╝

[*] THONG TIN REDIS INSTANCE
  Host:Port     : 127.0.0.1:6379
  Version       : 7.2.5
  Mode          : standalone
  Role          : master
  Modules       : timeseries bf

═══════════════════════════════════════════════════════════════════════
  [1/5] CVE-2026-23479 - Use-after-free trong Unblock Client Flow
        CVSS 7.7 (HIGH) | RCE
═══════════════════════════════════════════════════════════════════════
[✗] CO KHA NANG BI ANH HUONG - Redis 7.2.5 (can >= 7.2.14)

  ... (CVE 2-5 tuong tu)

╔══════════════════════════════════════════════════════════════════════╗
║                         TOM TAT KET QUA                              ║
╚══════════════════════════════════════════════════════════════════════╝
  [✗] CVE-2026-23479 - VULNERABLE
  [✗] CVE-2026-25243 - VULNERABLE
  [✗] CVE-2026-25588 - VULNERABLE
  [✗] CVE-2026-25589 - VULNERABLE
  [✓] CVE-2026-23631 - OK

  Ket qua: 1 PASS / 4 VULNERABLE

═══════════════════════════════════════════════════════════════════════
  [!] Phat hien 4 CVE. Su dung cac tuy chon --fix-... de khac phuc.
  VD: ./script.sh --fix-restore    # Chan RESTORE (3 CVE)
  VD: ./script.sh --fix-blocking   # Chan blocking (1 CVE)
  VD: ./script.sh --fix-lua        # Chan Lua (1 CVE)
  VD: ./script.sh --fix-all        # Khac phuc toan bo
═══════════════════════════════════════════════════════════════════════

## 일반적인 완화 방법

### 방법 1: ACL (Redis >= 6.0) — 권장

이 방법은 **가장 안전하고 유연한 방법**이며, Redis를 재시작할 필요가 없습니다.```bash
# Tao ACL user an toan cho ung dung
redis-cli ACL SETUSER app_user on >StrongPassword123 ~* \
    +@read \           # Quyen doc du lieu
    +@write \          # Quyen ghi du lieu
    -@dangerous \      # CHAN tat ca lenh nguy hiem (gồm RESTORE)
    -@admin \          # CHAN lenh quan tri
    -@scripting \      # CHAN Lua scripting
    -@blocking \       # CHAN blocking commands
    -@keyspace \       # CHAN keyspace notifications
    -@pubsub           # CHAN pub/sub (neu khong dung)

# Vo hieu hoa default user
redis-cli ACL SETUSER default off

# Luu ACL vinh vien
redis-cli ACL SAVE

그런 다음 Redis를 재시작합니다:```bash
sudo systemctl restart redis-server
# hoặc
sudo service redis-server restart

### 방법 4: 최소 권한으로 Redis 실행하기```bash
# Tao user redis khong co shell
sudo useradd -r -s /bin/false redis

# Chown thu muc Redis
sudo chown -R redis:redis /var/lib/redis
sudo chown -R redis:redis /etc/redis

# Chay Redis duoi user redis
sudo -u redis redis-server /etc/redis/redis.conf

---

## 위험 평가 — 내부 REDIS 시스템 / SENTINEL

이 섹션은 방화벽(Fortinet, iptables 등)으로 보호되고 **인터넷에 직접 연결되지 않은** 내부 네트워크에서 실행되는 **Redis Sentinel** 또는 Redis standalone 클러스터를 위한 것입니다.

### 요약

| 현재 보호 수준                   | 위험 완화 여부?                                                | 업그레이드 필요 여부?                    |
| ------------------------------- | -------------------------------------------------------------- | ---------------------------------------- |
| 인터넷 접근 불가                 | **예** — 외부 공격자 제거                                      | 긴급하지 않음                            |
| Fortinet 방화벽(IPS/DPI 포함)    | **예** — 소스 IP 필터링, IPS가 비정상 페이로드 탐지 가능       | 긴급하지 않음                            |
| iptables(소스 IP 제한)           | **예** — 허용된 IP만 Redis 포트에 연결 가능                     | 긴급하지 않음                            |
| **위 3가지 조치 모두 결합**      | **악용 확률을 매우 낮춤**                                       | **긴급하지 않지만, 계획은 필요함**       |

### 핵심 요점: 방화벽만으로 충분하지 않은 이유는?

5개 CVE 모두 공통점이 있습니다: 공격자는 Redis에 **이미 인증**되어 있어야 합니다(PR:L — CVSS 벡터에서 Privileges Required: Low). 방화벽은 허용되지 않은 IP의 연결을 차단하지만, 다음과 같은 위협으로부터는 **보호하지 못합니다**:

| 위협                                                                                                             | 발생 가능성                    | 악용 시 결과                                                                 |
| ---------------------------------------------------------------------------------------------------------------- | ------------------------------ | ---------------------------------------------------------------------------- |
| **악의적인 내부 직원** — 내부 네트워크 접근 권한 + Redis 비밀번호 보유                                        | 낮지만 배제할 수 없음          | Redis 서버에서 **RCE**, 권한 상승, 데이터 탈취                                |
| **내부 시스템 탈취(측면 이동)** — 공격자가 네트워크 내 임의의 시스템을 침투하여 Redis 공격                          | 중간                           | Redis 데이터 전체 탈취/변조/삭제; 공격자가 백도어 설치 가능                    |
| **방화벽 설정 오류** — 잘못된 규칙 변경으로 Redis 포트가 실수로 외부에 노출됨                                      | 낮음                           | 인터넷에 직접 노출된 것과 동일                                               |
| **공급망/제3자** — 내부 네트워크에 VPN 연결이 있는 파트너, 벤더                                              | 낮음                           | RCE, 데이터 유출                                                             |
| **방화벽/네트워크 자체의 취약점** — 공격자가 다른 취약점을 통해 방화벽 우회                                        | 매우 낮음                      | 내부 시스템 전체가 영향받음                                                  |

### 정량적 위험 분석

---```
Rủi ro = Xác suất khai thác × Hậu quả

Với firewall + air-gap:
  = (RẤT THẤP: 0.5% - 2%/năm) × (NGHIÊM TRỌNG: RCE toàn hệ thống, mất toàn bộ dữ liệu)
  = RỦI RO TRUNG BÌNH — vẫn đáng quan tâm

Tôi không thể dịch nội dung này vì không có văn bản nguồn nào được cung cấp trong phần INPUT. Vui lòng cung cấp nội dung Markdown tiếng Việt cần dịch sang tiếng Hàn.```bash
# ============================================
# Chay tren TUNG node Sentinel (port 26379)
# ============================================

# Sentinel thuong khong can RESTORE/EVAL — chan toan bo lenh nguy hiem
redis-cli -h <sentinel_ip> -p 26379 -a <sentinel_pass> ACL SETUSER default \
    -@dangerous -@admin -@scripting -@blocking -restore

redis-cli -h <sentinel_ip> -p 26379 -a <sentinel_pass> ACL SAVE

### 결론

> **방화벽 + 네트워크 격리는 익스플로잇 확률을 매우 낮추지만, 익스플로잇될 경우의 결과는 여전히 전 시스템 RCE입니다.** 복구 비용이 거의 0(재시작 없이 ACL 몇 줄 추가)에 가깝기 때문에 보호 조치를 적용하는 것은 위험 관리 측면에서 유리한 결정입니다. **당황하며 긴급 업그레이드할 필요는 없지만**, **이번 주 안에 ACL 워크어라운드를 적용하고** 다음 유지보수 창에서 업그레이드를 예약해야 합니다.

---

## ACL REFERENCE

### 중요한 명령 그룹(command categories)

| 그룹          | 설명                                                                             | CVE 영향                     |
| ------------- | -------------------------------------------------------------------------------- | ---------------------------- |
| `@dangerous`  | 위험한 명령(RESTORE, FLUSHDB, FLUSHALL, KEYS, SHUTDOWN, DEBUG, CONFIG 포함)      | CVE-2026-25243, 25588, 25589 |
| `@blocking`   | 블로킹 명령(BLPOP, BRPOP, BZPOPMIN, XREAD, WAIT, ...)                            | CVE-2026-23479               |
| `@scripting`  | Lua 스크립팅(EVAL, EVALSHA, SCRIPT, FUNCTION, FCALL)                             | CVE-2026-23631               |
| `@admin`      | 관리 명령(CONFIG, ACL, CLIENT, CLUSTER, MONITOR, SHUTDOWN, ...)                  | 일반 보호                    |
| `@keyspace`   | 키스페이스 관련 명령(KEYS, SCAN, FLUSHDB, FLUSHALL, ...)                         | 일반 보호                    |
| `@read`       | 데이터 읽기 명령(GET, HGET, LRANGE, SMEMBERS, ZRANGE, ...)                       | 안전                         |
| `@write`      | 데이터 쓰기 명령(SET, HSET, LPUSH, SADD, ZADD, ...)                              | 안전                         |

### 완전한 ACL 구성 예시```bash
# 1. Tao admin user (day du quyen)
redis-cli ACL SETUSER admin on >AdminPass123 ~* +@all

# 2. Tao app user (quyen gioi han)
redis-cli ACL SETUSER app on >AppPass123 ~* \
    +@read \
    +@write \
    -@dangerous \
    -@admin \
    -@scripting \
    -@blocking \
    -restore \
    -debug

# 3. Tao readonly user (chi doc)
redis-cli ACL SETUSER reader on >ReaderPass123 ~* \
    +@read \
    -@dangerous \
    -@admin \
    -@scripting

# 4. Vo hieu hoa default user
redis-cli ACL SETUSER default off

# 5. Luu ACL
redis-cli ACL SAVE

# 6. Kiem tra ACL
redis-cli ACL LIST

---

## 정기 점검 절차

### 1. 일회성 점검(ad-hoc)```bash
./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --scan \
    -H <redis_host> -p <port> -a <password> \
    -o report_$(date +%Y%m%d_%H%M%S).txt

Script kiểm tra hàng loạt:```bash
#!/bin/bash
# File: batch_check.sh

BATCH_RESULT="batch_result_$(date +%Y%m%d_%H%M%S).txt"

while IFS=':' read -r host port pass user; do
    [[ "$host" =~ ^#.* ]] && continue  # Bo qua comment
    [[ -z "$host" ]] && continue        # Bo qua dong trong

    echo "============================================" | tee -a "$BATCH_RESULT"
    echo "Kiem tra: $host:$port" | tee -a "$BATCH_RESULT"
    echo "============================================" | tee -a "$BATCH_RESULT"

    ./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --scan \
        -H "$host" -p "${port:-6379}" \
        -a "${pass:-}" -u "${user:-default}" \
        2>&1 | tee -a "$BATCH_RESULT"

    echo "" | tee -a "$BATCH_RESULT"
done < redis_hosts.txt

echo "Bao cao tong hop: $BATCH_RESULT"

### 4. CI/CD 파이프라인에 통합```yaml
# GitLab CI example
redis-security-scan:
  stage: security
  image: redis:7-alpine
  script:
    - chmod +x CVE-2026-25589-25588-25243-23631-23479-REDIS.sh
    - ./CVE-2026-25589-25588-25243-23631-23479-REDIS.sh --scan \
        -H $REDIS_HOST -p $REDIS_PORT -a $REDIS_PASS \
        -o cve_report.txt
  artifacts:
    paths:
      - cve_report.txt
    when: always
  allow_failure: true

출력에는 로드된 모듈 목록과 버전이 표시됩니다. `timeseries` 또는 `bf`가 보이지 않으면 해당 모듈은 로드되지 않은 것입니다.

### Q: `--fix-all` / `--fix-restore` / `--fix-...`는 프로덕션 환경에서 안전한가요?

**A:** fix 명령은 안전한 변경 사항을 수행합니다:

- 수정 전에 redis.conf를 백업합니다 (`--no-backup` 사용 시 제외)
- **ACL** (`-restore`, `-@blocking`, `-@scripting`): 즉시 적용되며, 다운타임이 없고, 되돌리기 쉽습니다
- **rename-command**: Redis를 재시작해야 적용됩니다
- **CONFIG SET**: 런타임에 적용되며, redis.conf에 기록하지 않으면 재시작 시 사라집니다

권장 사항: 프로덕션 환경에서는 먼저 `--fix-restore`, `--fix-blocking`, `--fix-lua`를 우선 사용하세요 (ACL만 적용되며 재시작이 필요 없습니다). 그런 다음 `rename-command`와 함께 재시작할 수 있도록 유지보수 창구(maintenance window)를 계획하세요.

### Q: `--fix-...` 변경 사항을 롤백하려면 어떻게 해야 하나요?

**A:**

1. 백업이 있는 경우: 백업 파일을 복사하여 redis.conf를 덮어쓴 후 Redis를 재시작합니다
2. `CONFIG SET`를 사용한 경우: Redis를 재시작하면 파일에서 구성이 복원됩니다
3. `ACL SETUSER`를 사용한 경우: `ACL SETUSER <user> +<cmd>`를 사용하여 권한을 복원합니다

### Q: Redis를 업그레이드해야 하나요?

**A:** **가능하다면, 네.** 패치된 버전으로 업그레이드하는 것이 가장 근본적인 해결책입니다. 이 스크립트는 다음 경우를 위한 것입니다:

- 애플리케이션 제약으로 즉시 업그레이드할 수 없는 경우
- 새 버전 테스트 시간이 필요한 경우
- 유지보수 창구를 기다리는 동안 임시 보호 조치가 필요한 경우

### Q: Redis가 내부에서만 실행되고 인터넷에 노출되지 않으며 방화벽으로 보호됩니다 — 업그레이드가 필요한가요?

**A:** **긴급 업그레이드는 필요하지 않지만**, workaround를 적용하고 업그레이드 계획을 세우는 것이 좋습니다. 그 이유는:

- 방화벽은 공격 **확률**만 줄일 뿐, 위험을 완전히 제거하지는 않습니다
- 내부 네트워크의 공격자(악의적인 직원, 탈취된 머신, lateral movement)도 여전히 악용할 수 있습니다
- 악용될 경우 결과는 **전체 시스템 RCE** — 가장 심각한 수준입니다
- **workaround 비용은 매우 낮습니다**: ACL `-restore -@blocking -@scripting` 추가는 2분이면 충분하며 다운타임이 없습니다

**권장 로드맵:**

1. **이번 주:** ACL workaround 적용 (다운타임 없음)
2. **다음 유지보수 창구:** Redis 업그레이드 + `rename-command` 추가

자세한 내용은 [위험 평가 — 내부 Redis 시스템 / Sentinel](#위험-평가--내부-redis-시스템--sentinel)을 참조하세요.

---

## 참고 자료

- [Redis 공식 보안 권고](https://redis.io/blog/security-advisory-cve202623479-cve202625243-cve-2026-25588-cve202625589-cve-2026-23631/)
- [GitHub Advisory — CVE-2026-25243 (RESTORE RCE)](https://github.com/redis/redis/security/advisories/GHSA-c8h9-259x-jff4)
- [GitHub Advisory — CVE-2026-23631 (Lua UAF)](https://github.com/redis/redis/security/advisories/GHSA-8ghh-qpmp-7826)
- [Redis ACL 문서](https://redis.io/docs/latest/operate/oss_and_stack/management/security/acl/)
- [Redis rename-command 문서](https://redis.io/docs/latest/operate/oss_and_stack/management/security/#disable-specific-commands)
- [NVD — CVE-2026-25243](https://nvd.nist.gov/vuln/detail/CVE-2026-25243)
- [NVD — CVE-2026-25588](https://nvd.nist.gov/vuln/detail/CVE-2026-25588)
- [OpenCVE — CVE-2026-23479](https://app.opencve.io/cve/CVE-2026-23479)
- [Tenable — CVE-2026-23631](https://www.tenable.com/cve/CVE-2026-23631)

---

> **면책 조항:** 이 문서는 Redis 보안 권고 및 NVD 등 공개 정보를 기반으로 작성되었습니다. 사용자는 적용 전에 자신의 환경에 적합한 조치를 확인하고 검증할 책임이 있습니다.