redis-cve-2026-23479-check

Un checker di versione sicuro, di sola lettura per CVE-2026-23479 — la use-after-free nel codice del blocking-client di Redis che consente a un utente autenticato di raggiungere l'esecuzione remota di codice sull'host.

Non sfrutta la vulnerabilità. Si connette, autentica opzionalmente, esegue un singolo comando INFO server in sola lettura, analizza la versione e la confronta con l'elenco delle release corrette. Non invia mai un comando bloccante e non tocca mai il percorso di codice vulnerabile. Usalo solo su istanze di tua proprietà o per cui hai esplicita autorizzazione al test.

Perché è importante

"Autenticato" suona rassicurante finché non ricordi come Redis viene davvero distribuito: per anni il default è stato nessuna password, e anche oggi è il trusted box cache/coda/sessioni che nessuno protegge con un firewall internamente. Una RCE autenticata su un componente che ogni server applicativo può già raggiungere, su una rete piatta, è un'autostrada per il lateral movement. E al momento in cui scrivo non esiste un PoC pubblico — il che significa che sei left of the boom (prima dell'esplosione). È il posto più economico in cui un difensore possa mai trovarsi. Usalo: trova le tue istanze esposte e applica la patch prima che l'exploit arrivi.

La vulnerabilità

• CVE-2026-23479 · use-after-free nella gestione del blocking-client. Quando un client bloccato viene rimosso mentre un comando bloccato viene rieseguito, un utente autenticato può innescare una UAF → potenziale RCE.
• Introdotta: Redis 7.2.0. Presente in ogni ramo stabile fino alle correzioni del 2026-05-05.
• CVSS: 8.8 (NVD, CVSS 3.1) · 7.7 (Redis, CVSS 4.0).
• Corretta in: 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3.

Utilizzo

Nessuna dipendenza — solo Python 3.

python3 check.py <host> [-p PORT] [-a PASSWORD] [--user ACL_USER] [--tls] [--insecure]

Esempi:

python3 check.py 127.0.0.1
python3 check.py redis.internal -p 6380 -a "$REDIS_PASSWORD"
python3 check.py redis.example.com --tls            # cert verified by default
python3 check.py redis.internal --tls --insecure    # self-signed internal cert (opt-in)

Il codice di uscita è 0 quando è patchato/non affetto e 1 quando è necessaria un'azione (vulnerabile / da verificare), quindi si integra direttamente nella CI:

python3 check.py "$REDIS_HOST" -a "$REDIS_PASSWORD" || echo "::warning::Redis needs the CVE-2026-23479 patch"

Se dice VULNERABILE

1. Aggiorna alla release corretta per il tuo ramo (vedi sopra).
2. Su qualsiasi cosa non possa essere patchata immediatamente: richiedi l'autenticazione e ruota la password, e metti la porta di Redis dietro una policy di rete in modo che solo i servizi che ne hanno bisogno possano raggiungerla — non l'intera VLAN. Se un attaccante non può raggiungere la porta e non può autenticarsi, una UAF autenticata è un bug che non può toccare.

Rilevare lo sfruttamento

Vedi detection/redis-cve-2026-23479.sigma.yml — una regola Sigma basata su host che intercetta l'esito di qualsiasi RCE su Redis (il processo redis-server che genera una shell o un figlio inatteso), molto più robusta che cercare di identificare i pacchetti di exploit esatti.

Con tecnologia DugganUSA threat intelligence — 1M+ IOC, feed STIX 2.1, piano gratuito. analytics.dugganusa.com · consegniamo lo scudo, non la spada.