Ensure the default ACL user is not configured with nopass

CríticaNivel 1Automatizadaredis

Descripción

'user default ... nopass' explicitly allows password-less access with the default user's permissions. Checks /etc/redis/redis.conf (SKIP when it does not exist; RHEL uses /etc/redis.conf).

Cómo se verifica

Método de auditoría: Patrón de archivo

Archivo: /etc/redis/redis.conf
Patrón: (?m)^[ \t]*user[ \t]+default[ \t][^\n]*\bnopass\b

Cómo se corrige

Método de corrección: Guía o parche de infraestructura

Replace nopass with '><secret>' (or turn the user off with 'user default off') in redis.conf / the aclfile and restart, or ACL SETUSER default resetpass ><secret> followed by ACL SAVE

Propiedades

Sistemas operativos: Cualquiera
Etiquetas: redisdatabaseauthentication
Referencia: CIS Redis Benchmark - Authentication / ACL default user (verify section number for your release)

Verificar este host

Ejecute esto en un equipo que tenga permiso para auditar. El escaneo es de solo lectura.

shell

tmaegis scan --target redis