2025-10-14 elasticache cve-2025-49844

younsl

TLDR

대상 독자

얻을 수 있는 점

개요

ElastiCache for Valkey 클러스터에서 CVE-2025-49844 보안 취약점을 해결하기 위한 실무 가이드입니다.

AWS ElastiCache는 마이너 버전 업그레이드 대신 백포트 패치 방식을 사용하여, 엔진 버전을 유지한 채로 보안 패치를 적용합니다. 이 문서에서는 두 개의 서비스 업데이트를 순차적으로 적용하는 방법과 실제 운영 환경 적용 경험을 공유합니다.

배경지식

서비스 업데이트

ElastiCache 팀 서포트 답변에 따르면 CVE-2025-49844 취약점을 해결하려면 아래 2개 서비스 업데이트를 적용합니다.

ElastiCache Valkey와 ElastiCache Redis 둘 다 해당 서비스 업데이트가 존재합니다.

  1. elasticache-october-patch-update-202510: engine-update, Important level
  2. elasticache-october-patch-update-2-202510: engine-update, Important level

cache.t3.small 싱글 노드 1개 기준으로, 위 2개 서비스 업데이트 완료까지 30분 소요됩니다.

영향도

서비스 업데이트 적용 시 ElastiCache 노드만 재시작되며, 클라이언트 애플리케이션(파드)는 재시작할 필요가 없습니다. 단일 노드 클러스터의 경우 패치 적용 중 전체 서비스가 중단되며, 다중 노드 클러스터는 롤링 업데이트 방식으로 진행되어 가용성이 유지되지만 일시적인 읽기 성능 저하가 발생할 수 있습니다.

업데이트 중 기존 연결이 끊기지만, 대부분의 Redis 클라이언트 라이브러리는 자동 재연결 기능을 내장하고 있어 ElastiCache가 재시작되면 자동으로 재연결을 시도합니다. 다만 클라이언트의 재연결 로직과 connection timeout, retry 설정이 적절하게 구현되어 있는지 사전 확인이 필요합니다. 실제 운영 환경에서 Redis에서 Valkey로의 엔진 전환과 이번 서비스 업데이트 적용 시 애플리케이션 파드(Redis 클라이언트)에서 데이터 손실이나 오류 없이 정상적으로 동작했습니다.

데이터는 손실 없이 유지되며, 백포트 패치 방식으로 진행되어 엔진 버전 번호와 복제본 구성도 동일하게 유지됩니다. 프로덕션 환경 적용 전에는 개발/스테이징 환경에서 선행 검증하고, 서비스 트래픽이 적은 시간대에 적용하는 것을 권장합니다.

취약점 조치 방법

ElastiCache 클러스터 조회

서비스 업데이트를 적용하기 전에 현재 운영 중인 ElastiCache 클러스터 목록을 확인합니다. 클러스터 ID, 엔진 타입(Valkey or Redis), 엔진 버전 정보를 조회하여 패치 대상을 식별할 수 있습니다.

aws elasticache describe-replication-groups \
  --query 'ReplicationGroups[*].[ReplicationGroupId,Engine,EngineVersion]' \
  --output table

서비스 업데이트 조회

먼저 적용 가능한 서비스 업데이트 목록을 확인합니다:

aws elasticache describe-service-updates \
  --service-update-status available \
  --query 'ServiceUpdates[*].[ServiceUpdateName,ServiceUpdateType]' \
  --output text

elasticache-october-patch-update-2-202510       engine-update
elasticache-october-patch-update-202510 engine-update
# ... omitted for brevity ...

서비스 업데이트 적용

우선 AWS의 ElastiCache의 경우에 해당 외부의 Redis의 버전과 동일하게 매칭이 되지는 않습니다. AWS에서 관리되는 ElastiCache for Redis의 경우에 패치가 이루어지는 마이너 버전의 경우에 이를 버전 업그레이드를 하는 방식이 아닌 내부적으로 백포트 패치로 진행하고 있습니다. 따라서 ElastiCache 엔진 버전을 유지한 채로 패치가 진행된다는 특성이 있습니다.

aws elasticache batch-apply-update-action \
  --service-update-name elasticache-october-patch-update-202510 \
  --replication-group-ids my-cluster-dev my-cluster-stage

서비스 업데이트는 한 번에 하나씩 적용 가능하므로, elasticache-october-patch-update-202510가 완료된 이후에 elasticache-october-patch-update-2-202510 서비스 업데이트를 이어서 실행합니다.

aws elasticache batch-apply-update-action \
  --service-update-name elasticache-october-patch-update-2-202510 \
  --replication-group-ids my-cluster-dev my-cluster-stage

관련자료