Это нормально, что я вижу данные Redis других на общем хостинге? [закрыто]

Сервис Redis доступен на моем хостинге, и если я подключаю его за деньги, он доступен только для меня, так как Redis поднимается в отдельный контейнер докера.

Но если я выключу его, тогда Redis все еще можно будет использовать бесплатно, хотя и для всего сервера. И вот я подключаюсь к обще-серверному Redis:

$redis = new Redis ();
$redis->connect('127.0.0.1', 6379);

И я вижу там около 300 000 записей чужих сайтов.

$allKeys = $redis->keys('*');
echo(count($allKeys)); // ~300000
echo ($allKeys[10000]); // some data of some site
echo ($redis->get($allKeys[10000])); // some data of some site

И я могу изменить каждую запись! Нравится:

$redis->set($allKeys[10000], 0);

То есть кто-то использует общедоступный Redis, и я считаю, что пользователь не знает о публичной доступности своих данных. Он просто включил флажок «Использовать Redis» где-то в WordPress.

И вопрос: ответственен ли хостинг-провайдер за это? Ведь обычный пользователь считает, что его данные хранятся только на его сервере и доступны только ему.

Ответ технической поддержки был: все в порядке.

Но я так не думаю, поэтому я спрашиваю.

Этот хостинг-провайдер несет ответственность за нарушение безопасности. Учитывая десять основных рисков безопасности веб-приложений OWASP, это проблема нескольких рисков безопасности: сломанная аутентификация, раскрытие конфиденциальных данных и сломанный контроль доступа.

Какой ваш следующий шаг зависит от вас. Вы должны проинформировать хостинг-провайдера, пользователи должны быть проинформированы хостинг-провайдером о возможном нарушении данных. Это очень серьезный вопрос безопасности и правовые вопросы, поскольку чьи-то личные данные доступны другим пользователям.

Смотрите: https://owasp.org/www-project-top-ten/

Я работаю в веб-хостинге. Это не правильно и означает, что у них на руках серьезная проблема! Спросите менеджера или руководителя. Если это никуда не денется, ПЕРЕМЕСТИТЕ.

Из того, что вы описали, у них есть виртуальные пользователи для пользователей Redis, которые платят за это. Вместо того, чтобы отключить его для всех остальных, они, по-видимому, позволяют всем получить доступ к одному и тому же общему пулу, что вызывает нарушение безопасности, которое вы описали.