注意，开源Redis被爆高危漏洞，攻击者可远程注入代码

2021年7月22日，Redis官方和开源Redis社区先后发布公告，披露了CVE-2021-32761 Redis（32位）远程代码执行漏洞。在32位Redis中，攻击者在Redis存在未授权访问的情况下可利用BIT命令与proto-max-bulk-len配置参数可能造成整形溢出，最终导致远程代码执行，本次漏洞等级为高危级别。需要说明的是，本次开源Redis的安全漏洞并不影响现网华为云GaussDB(for Redis)的任何实例，已经在使用华为云GaussDB(for Redis)的用户请继续放心使用。

通过本次漏洞可以发现，开源Redis对BITFIELD等命令的代码实现上存在问题，导致了对string数据类型的操作存在安全隐患。随时可能被恶意触发整形溢出BUG，甚至还会被恶意执行远程代码。因此，给了黑客可乘之机。本次漏洞的代码修复已经发布，官方建议用户尽快升级到开源Redis6.2.5, 6.0.15, 5.0.13这三个安全版本。

那么，对于此类数据库安全漏洞该如何防患于未然呢？

数据库漏洞属于软件漏洞中的一种，主要是被用来突破系统的安全策略。数据库漏洞往往会影响很大一个范围，除了影响数据库自身，还包括数据库所在操作系统和数据库所在局域网的整体安全。通常来说，防范和补救措施有：1. 紧跟官方通知，排查并升级数据库到安全版本。本次漏洞事件中，开源Redis用户应第一时间完成升级；2. 若短时无法升级，则从服务端开启访问限制，禁用危险命令；3. 通过白名单访问IP等安全策略，提高入侵难度