Ensure client authentication is required

CríticaNível 1Automatizadaredis

Descrição

Without requirepass or an ACL password on the default user, any client that can reach the port has full access. Compliant when requirepass is set or the default user is defined with a password (>pw / #hash) or is turned off. ACLs defined only in an aclfile must be reviewed separately. Checks /etc/redis/redis.conf (SKIP when it does not exist; RHEL uses /etc/redis.conf).

Como é verificado

Método de auditoria: Padrão de arquivo

Arquivo: /etc/redis/redis.conf
Padrão: (?m)^[ \t]*(?:requirepass[ \t]+\S+|user[ \t]+default[ \t][^\n]*(?:[ \t][>#]\S+|[ \t]off\b))

Como é corrigido

Método de correção: Orientação ou patch de infraestrutura

Set 'requirepass <long random secret>' (Redis < 6) or define ACL users with 'user <name> on ><secret> ~<keys> +@<categories>' and 'user default off' in redis.conf; restart and update clients

Propriedades

Sistemas operacionais: Qualquer
Tags: redisdatabaseauthentication
Referência: CIS Redis Benchmark - Authentication / requirepass and ACL (verify section number for your release)

Verificar este host

Execute isto em uma máquina que você tenha permissão para auditar. A varredura é somente leitura.

shell

tmaegis scan --target redis