redis-cve-2026-23479-check

Un comprobador de versiones seguro y de solo lectura para CVE-2026-23479 — el use-after-free en el código de clientes bloqueados de Redis que permite a un usuario autenticado lograr ejecución remota de código en el host.

No explota la vulnerabilidad. Se conecta, opcionalmente se autentica, ejecuta un único INFO server de solo lectura, analiza la versión y la compara con la lista de versiones corregidas. Nunca envía un comando bloqueante y nunca toca la ruta de código vulnerable. Úsalo solo contra instancias que te pertenezcan o para las que tengas autorización explícita de prueba.

Por qué esto importa

"Autenticado" suena tranquilizador hasta que recuerdas cómo se distribuye realmente Redis: durante años el valor predeterminado fue sin contraseña, e incluso ahora es la caja de caché/cola/sesión de confianza que nadie protege con firewall internamente. Un RCE autenticado en un componente al que todos los servidores de aplicaciones ya pueden acceder, en una red plana, es una autopista para el movimiento lateral. Y al momento de escribir esto no hay PoC público, lo que significa que estás a la izquierda de la explosión. Ese es el lugar más barato en el que un defensor puede estar. Úsalo: encuentra tus instancias expuestas y parchea antes de que llegue el exploit.

La vulnerabilidad

• CVE-2026-23479 · use-after-free en el manejo de clientes bloqueados. Cuando un cliente bloqueado es desalojado mientras se re-ejecuta un comando bloqueado, un usuario autenticado puede desencadenar un UAF → posible RCE.
• Introducido: Redis 7.2.0. Presente en todas las ramas estables hasta los parches del 2026-05-05.
• CVSS: 8.8 (NVD, CVSS 3.1) · 7.7 (Redis, CVSS 4.0).
• Corregido en: 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3.

Uso

Sin dependencias — solo Python 3.

python3 check.py <host> [-p PORT] [-a PASSWORD] [--user ACL_USER] [--tls] [--insecure]

Ejemplos:

python3 check.py 127.0.0.1
python3 check.py redis.internal -p 6380 -a "$REDIS_PASSWORD"
python3 check.py redis.example.com --tls            # cert verified by default
python3 check.py redis.internal --tls --insecure    # self-signed internal cert (opt-in)

El código de salida es 0 cuando está parcheado/no afectado y 1 cuando se necesita acción (vulnerable / verificar), por lo que se integra directamente en CI:

python3 check.py "$REDIS_HOST" -a "$REDIS_PASSWORD" || echo "::warning::Redis needs the CVE-2026-23479 patch"

Si dice VULNERABLE

1. Actualiza a la versión corregida para tu rama (arriba).
2. En cualquier cosa que no puedas parchear de inmediato: exige autenticación y rota la contraseña, y protege el puerto de Redis con política de red para que solo los servicios que lo necesiten puedan alcanzarlo — no toda la VLAN. Si un atacante no puede alcanzar el puerto ni autenticarse, un UAF autenticado es un bug que no puede tocar.

Detección de explotación

Consulta detection/redis-cve-2026-23479.sigma.yml — una regla Sigma basada en host que detecta el resultado de cualquier RCE en Redis (el proceso redis-server lanzando un shell o un hijo inesperado), que es mucho más robusto que intentar identificar los paquetes exactos del exploit.

Con la potencia de la inteligencia de amenazas de DugganUSA — 1M+ IOCs, feed STIX 2.1, nivel gratuito. analytics.dugganusa.com · nosotros entregamos el escudo, no la espada.