Có phải là bình thường khi tôi thấy dữ liệu Redis của người khác trên lưu trữ được chia sẻ? [đóng cửa]

Dịch vụ Redis có sẵn trên máy chủ của tôi và nếu tôi kết nối nó để kiếm tiền, thì nó chỉ khả dụng cho tôi, vì Redis tăng trong một container riêng.

Nhưng, nếu tôi tắt nó, thì Redis vẫn có thể được sử dụng miễn phí, mặc dù toàn máy chủ. Và ở đây tôi đang kết nối với Redis trên toàn máy chủ:

$redis = new Redis ();
$redis->connect('127.0.0.1', 6379);

Và tôi thấy có khoảng 300.000 hồ sơ của các trang web của người khác.

$allKeys = $redis->keys('*');
echo(count($allKeys)); // ~300000
echo ($allKeys[10000]); // some data of some site
echo ($redis->get($allKeys[10000])); // some data of some site

Và tôi có thể thay đổi mọi kỷ lục! Như thế này:

$redis->set($allKeys[10000], 0);

Đó là, ai đó sử dụng Redis trên toàn máy chủ và tôi tin rằng người dùng không biết về tính khả dụng của dữ liệu của họ. Anh ta chỉ bật hộp kiểm "Sử dụng Redis" ở đâu đó trong WordPress.

Và câu hỏi là: nhà cung cấp dịch vụ lưu trữ có chịu trách nhiệm cho việc này không? Rốt cuộc, một người dùng bình thường tin rằng dữ liệu của anh ta chỉ được lưu trữ trên máy chủ của anh ta và chỉ có sẵn cho anh ta.

Các phản ứng hỗ trợ kỹ thuật là: mọi thứ đều ổn.

Nhưng tôi không nghĩ vậy, nên tôi hỏi.

Nhà cung cấp dịch vụ lưu trữ này chịu trách nhiệm cho việc vi phạm an ninh. Xem xét mười rủi ro bảo mật ứng dụng Web hàng đầu của OWASP, đây là vấn đề của một số rủi ro bảo mật: Xác thực bị hỏng, Tiếp xúc dữ liệu nhạy cảm và Kiểm soát truy cập bị hỏng.

Bước tiếp theo của bạn là gì tùy thuộc vào bạn. Bạn nên thông báo cho nhà cung cấp dịch vụ lưu trữ, người dùng nên được nhà cung cấp dịch vụ lưu trữ thông báo về việc vi phạm dữ liệu có thể xảy ra. Đây là một vấn đề pháp lý và bảo mật rất nghiêm trọng vì người dùng có thể truy cập dữ liệu riêng tư của ai đó.

Xem: https://owasp.org/www-project-top-ten/

Tôi làm việc trong lĩnh vực lưu trữ web. Điều này là không chính xác và có nghĩa là họ có một vấn đề nghiêm trọng trên tay của họ! Yêu cầu một người quản lý hoặc người giám sát. Nếu điều đó không đi đến đâu, hãy di chuyển.

Từ những gì bạn mô tả, họ có người dùng ảo cho người dùng Redis trả tiền cho nó. Thay vì vô hiệu hóa nó cho những người khác, họ dường như cho phép mọi người truy cập vào cùng một nhóm chung, gây ra vi phạm an ninh mà bạn đã mô tả.