redis-cve-2026-23479-check

Un vérificateur de version sûr et en lecture seule pour CVE-2026-23479 — l'use-after-free dans le code de client bloquant de Redis qui permet à un utilisateur authentifié d'exécuter du code à distance sur l'hôte.

Il n'exploite pas le bug. Il se connecte, s'authentifie optionnellement, exécute une seule commande INFO server en lecture seule, analyse la version et la compare à la liste des versions corrigées. Il n'envoie jamais de commande bloquante et ne touche jamais au chemin de code vulnérable. Utilisez-le uniquement contre des instances que vous possédez ou que vous êtes explicitement autorisé à tester.

Pourquoi c'est important

« Authentifié » semble rassurant jusqu'à ce qu'on se rappelle comment Redis est déployé : pendant des années la valeur par défaut était sans mot de passe, et même aujourd'hui c'est la boîte cache/file d'attente/session de confiance que personne ne pare-feu en interne. Une RCE authentifiée sur un composant que chaque serveur d'application peut déjà atteindre, sur un réseau plat, est une autoroute pour le mouvement latéral. Et au moment où j'écris ces lignes, il n'y a aucun PoC public — ce qui signifie que vous êtes avant l'explosion. C'est la position la moins chère qu'un défenseur puisse jamais occuper. Utilisez-le : trouvez vos instances exposées et corrigez avant que l'exploit n'arrive.

Le bug

• CVE-2026-23479 · use-after-free dans la gestion des clients bloquants. Lorsqu'un client bloqué est expulsé pendant la réexécution d'une commande bloquée, un utilisateur authentifié peut déclencher un UAF → potentielle RCE.
• Introduit : Redis 7.2.0. Présent dans chaque branche stable jusqu'aux correctifs du 2026-05-05.
• CVSS : 8.8 (NVD, CVSS 3.1) · 7.7 (Redis, CVSS 4.0).
• Corrigé dans : 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3.

Utilisation

Aucune dépendance — seulement Python 3.

python3 check.py <host> [-p PORT] [-a PASSWORD] [--user ACL_USER] [--tls] [--insecure]

Exemples :

python3 check.py 127.0.0.1
python3 check.py redis.internal -p 6380 -a "$REDIS_PASSWORD"
python3 check.py redis.example.com --tls            # certificat vérifié par défaut
python3 check.py redis.internal --tls --insecure    # certificat auto-signé interne (sur option)

Le code de sortie est 0 lorsque corrigé/non affecté et 1 lorsqu'une action est nécessaire (vulnérable / vérifier), donc il s'intègre directement dans du CI :

python3 check.py "$REDIS_HOST" -a "$REDIS_PASSWORD" || echo "::warning::Redis a besoin du correctif CVE-2026-23479"

Si le résultat indique VULNÉRABLE

1. Mettez à jour vers la version corrigée de votre branche (ci-dessus).
2. Sur tout ce que vous ne pouvez pas corriger immédiatement : exigez une authentification, changez le mot de passe, et placez le port Redis derrière une politique réseau afin que seuls les services qui en ont besoin puissent y accéder — pas tout le VLAN. Si un attaquant ne peut pas atteindre le port et ne peut pas s'authentifier, un UAF authentifié est un bug qu'il ne peut pas exploiter.

Détection de l'exploitation

Voir detection/redis-cve-2026-23479.sigma.yml — une règle Sigma basée sur l'hôte qui détecte le résultat de toute RCE Redis (le processus redis-server engendrant un shell ou un enfant inattendu), ce qui est bien plus robuste que d'essayer d'identifier les paquets exacts de l'exploit.

---

Propulsé par le renseignement sur les menaces DugganUSA — 1M+ IOC, flux STIX 2.1, niveau gratuit.
analytics.dugganusa.com · nous livrons le bouclier, pas l'épée.