redis-cve-2026-23479-check

Ein sicherer, schreibgeschützter Versionsprüfer für CVE-2026-23479 — die Use-after-Free-Schwachstelle im Blocking-Client-Code von Redis, die es einem authentifizierten Benutzer ermöglicht, Remote-Codeausführung auf dem Host zu erreichen.

Es nutzt die Schwachstelle nicht aus. Es verbindet sich, authentifiziert sich optional, führt einen einzigen schreibgeschützten Befehl INFO server aus, parst die Version und vergleicht sie mit der Liste der behobenen Releases. Es sendet nie einen Blocking-Befehl und berührt nie den verwundbaren Codepfad. Verwende es nur gegen Instanzen, die du besitzt oder für die du ausdrücklich zum Testen autorisiert bist.

Warum das wichtig ist

„Authentifiziert“ klingt beruhigend, bis man sich daran erinnert, wie Redis tatsächlich ausgeliefert wird: Jahrelang war der Standard kein Passwort, und selbst heute ist es die vertrauenswürdige Cache-/Queue-/Session-Box, die intern niemand per Firewall absichert. Eine authentifizierte RCE auf einer Komponente, die jeder App-Server bereits erreichen kann, ist in einem flachen Netzwerk eine Super-Autobahn für laterale Bewegung. Und zum Zeitpunkt dieses Schreibens gibt es keinen öffentlichen PoC — du stehst also vor dem Einschlag. Das ist der günstigste Ort, an dem ein Verteidiger je stehen kann. Nutze es: Finde deine exponierten Instanzen und patche, bevor der Exploit eintrifft.

Der Bug

• CVE-2026-23479 · Use-after-Free in der Blocking-Client-Behandlung. Wenn ein blockierter Client während der erneuten Ausführung eines blockierten Befehls entfernt wird, kann ein authentifizierter Benutzer einen UAF auslösen → potenzielle RCE.
• Eingeführt: Redis 7.2.0. In jedem stabilen Branch vorhanden, bis zu den Fixes vom 2026-05-05.
• CVSS: 8.8 (NVD, CVSS 3.1) · 7.7 (Redis, CVSS 4.0).
• Behoben in: 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3.

Verwendung

Keine Abhängigkeiten — nur Python 3.

python3 check.py <host> [-p PORT] [-a PASSWORD] [--user ACL_USER] [--tls] [--insecure]

Beispiele:

python3 check.py 127.0.0.1
python3 check.py redis.internal -p 6380 -a "$REDIS_PASSWORD"
python3 check.py redis.example.com --tls            # cert verified by default
python3 check.py redis.internal --tls --insecure    # self-signed internal cert (opt-in)

Der Exitcode ist 0, wenn gepatcht/nicht betroffen, und 1, wenn Handlungsbedarf besteht (verwundbar / überprüfen) — er lässt sich also direkt in CI einbinden:

python3 check.py "$REDIS_HOST" -a "$REDIS_PASSWORD" || echo "::warning::Redis needs the CVE-2026-23479 patch"

Wenn VULNERABLE ausgegeben wird

1. Aktualisiere auf die behobene Version für deinen Branch (siehe oben).
2. Für alles, was du nicht sofort patchen kannst: Authentifizierung erzwingen und das Passwort rotieren, und den Redis-Port hinter eine Netzwerkrichtlinie legen, sodass nur die Dienste, die ihn benötigen, ihn erreichen können — nicht das gesamte VLAN. Wenn ein Angreifer den Port nicht erreichen und sich nicht authentifizieren kann, ist ein authentifizierter UAF ein Bug, den er nicht anfassen kann.

Erkennung von Exploitation

Siehe detection/redis-cve-2026-23479.sigma.yml — eine hostbasierte Sigma-Regel, die das Ergebnis einer beliebigen Redis-RCE erfasst (der redis-server-Prozess, der eine Shell oder ein unerwartetes Kind startet), was weitaus robuster ist, als die genauen Exploit-Pakete zu identifizieren.

Unterstützt durch DugganUSA Threat Intelligence — 1M+ IOCs, STIX-2.1-Feed, kostenlose Stufe. analytics.dugganusa.com · wir liefern den Schild, nicht das Schwert.