redis-cve-2026-23479-check

You do you. I do me. We share contexts.

Dein Redis bleibt deins; der Checker liest eine INFO-Zeile und ändert nichts.

Ein sicherer, schreibgeschützter Versions-Checker für CVE-2026-23479 — den Use-after-free im Blocking-Client-Code von Redis, der einem authentifizierten Benutzer Remote Code Execution auf dem Host ermöglicht.

Er nutzt die Schwachstelle nicht aus. Er verbindet sich, authentifiziert sich optional, führt ein einzelnes schreibgeschütztes INFO server aus, parst die Version und vergleicht sie mit der Liste der korrigierten Releases. Er sendet niemals einen blockierenden Befehl und berührt niemals den verwundbaren Codepfad. Verwende ihn nur gegen Instanzen, die dir gehören oder für die du ausdrücklich autorisiert bist, sie zu testen.

Warum das wichtig ist

„Authentifiziert" klingt beruhigend, bis man sich daran erinnert, wie Redis tatsächlich ausgeliefert wird: Jahrelang war der Standard kein Passwort, und selbst jetzt ist es die vertrauenswürdige Cache-/Queue-/Session-Box, die intern niemand per Firewall absichert. Ein authentifiziertes RCE auf einer Komponente, die jeder App-Server bereits erreichen kann, in einem flachen Netzwerk, ist eine Datenautobahn für Lateral Movement. Und zum Zeitpunkt dieses Schreibens gibt es keinen öffentlichen PoC — was bedeutet, du bist links vom Knall. Das ist der günstigste Ort, an dem ein Verteidiger jemals stehen kann. Nutze ihn: Finde deine exponierten Instanzen und patche, bevor der Exploit landet.

Die Schwachstelle

• CVE-2026-23479 · Use-after-free in der Behandlung blockierender Clients. Wenn ein blockierter Client entfernt wird, während ein blockierter Befehl erneut ausgeführt wird, kann ein authentifizierter Benutzer einen UAF auslösen → potenzielles RCE.
• Eingeführt: Redis 7.2.0. In jedem stabilen Branch vorhanden bis zu den Fixes vom 2026-05-05.
• CVSS: 8.8 (NVD, CVSS 3.1) · 7.7 (Redis, CVSS 4.0).
• Behoben in: 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3.

Verwendung

Keine Abhängigkeiten — nur Python 3.

python3 check.py <host> [-p PORT] [-a PASSWORD] [--user ACL_USER] [--tls] [--insecure]

Beispiele:

python3 check.py 127.0.0.1
python3 check.py redis.internal -p 6380 -a "$REDIS_PASSWORD"
python3 check.py redis.example.com --tls            # cert verified by default
python3 check.py redis.internal --tls --insecure    # self-signed internal cert (opt-in)

Der Exit-Code ist 0, wenn gepatcht/nicht betroffen, und 1, wenn Handlungsbedarf besteht (verwundbar / überprüfen), sodass er direkt in CI passt:

python3 check.py "$REDIS_HOST" -a "$REDIS_PASSWORD" || echo "::warning::Redis needs the CVE-2026-23479 patch"

Wenn es VULNERABLE meldet

1. Aktualisiere auf das korrigierte Release für deinen Branch (siehe oben).
2. Bei allem, was du nicht sofort patchen kannst: Authentifizierung erzwingen und das Passwort rotieren, und den Redis-Port hinter eine Netzwerkrichtlinie stellen, sodass nur die Dienste, die ihn benötigen, ihn erreichen können — nicht das gesamte VLAN. Wenn ein Angreifer den Port nicht erreichen und sich nicht authentifizieren kann, ist ein authentifizierter UAF ein Bug, den er nicht anfassen kann.

Erkennung von Ausnutzung

Siehe detection/redis-cve-2026-23479.sigma.yml — eine hostbasierte Sigma-Regel, die das Ergebnis jedes Redis-RCE abfängt (der redis-server-Prozess, der eine Shell oder einen unerwarteten Kindprozess startet), was weit robuster ist, als zu versuchen, die exakten Exploit-Pakete zu fingerprinten.

---

Von DugganUSA: Threat Intelligence, die du überprüfen kannst. DugganUSA Feed (STIX 2.1, kostenlose Stufe, Live-Zahlen). Kostenlosen Schlüssel registrieren · wir liefern den Schild, nicht das Schwert.