🔥 CVE-2026-23479 – Redis UAF Prova di concetto

Use-After-Free in Redis unblockClientOnKey() che porta all'esecuzione remota di codice
Prova di concetto con sfruttamento assistito da GDB (solo uso didattico / di laboratorio)

---

📖 Panoramica

CVE-2026-23479 è una vulnerabilità critica Use‑After‑Free (UAF) nelle versioni di Redis dalla 7.2.0 alla 8.6.2.
Il bug risiede in unblockClientOnKey(), che chiama processCommandAndResetClient() senza controllare il valore di ritorno.
Se il client viene liberato durante quella chiamata (ad es. a causa di un'eviction), il chiamante continua a operare su un puntatore dangling → UAF.
Un attaccante in grado di modellare l'heap dopo la liberazione può ottenere l'esecuzione arbitraria di codice.

Questo repository fornisce una PoC assistita da GDB che:

• Attiva l'esatto percorso di codice vulnerabile
• Dimostra la UAF causando deliberatamente un crash (chiamata a freeClient())
• Dimostra l'esecuzione arbitraria di comandi iniettando una chiamata a system() nello stesso punto

⚠️ Importante: questa non è un exploit weaponizzato. Utilizza GDB all'interno di un container Docker privilegiato per simulare ciò che un vero attaccante potrebbe ottenere dopo aver sfruttato con successo la UAF.
Usalo solo nel tuo laboratorio o su sistemi per i quali hai l'esplicita autorizzazione a testare.

---

✨ Caratteristiche

• 🧪 Quattro modalità operative – crash, gdb, rce, full
• 🐳 Basato su Docker – nessuna necessità di installare una Redis vulnerabile sull'host
• 🔍 Rilevamento automatico della versione – verifica se il target rientra nell'intervallo interessato
• 🧹 Auto-pulizia – termina le sessioni GDB stale prima di ogni esecuzione
• 🎯 Nome container flessibile – passa qualsiasi container tramite --container
• 📦 Singolo file Python – zero dipendenze oltre la libreria standard

---

🧠 Come funziona

1. Blocca una vittima – un comando XREAD BLOCK fa sì che il client attenda dati dallo stream.
2. Aggancia GDB – GDB si aggancia al processo Redis (pid 1) all'interno del container.
3. Imposta un breakpoint su processCommandAndResetClient – la funzione chiamata quando il client bloccato viene riprocessato.
4. Attiva lo sblocco – un XADD sullo stesso stream risveglia la vittima.
5. Quando il breakpoint viene raggiunto:
   • Modalità gdb: chiama freeClient($rdi) → causa deliberatamente un SIGSEGV → dimostra la UAF.
   • Modalità rce: chiama system("your command") → esegue comandi shell arbitrari come utente Redis (root di default).
6. Verifica – lo script controlla se il file di prova atteso esiste (RCE) o se Redis è andato in crash (UAF).

Il breakpoint scatta ogni volta che un client bloccato viene sbloccato, dimostrando che lo stesso percorso di codice che contiene la UAF consente anche l'esecuzione di codice.

---

📋 Versioni interessate

Branch	Intervallo vulnerabile
7.2	7.2.0 – 7.2.13
7.4	7.4.0 – 7.4.8
8.2	8.2.0 – 8.2.5
8.4	8.4.0 – 8.4.2
8.6	8.6.0 – 8.6.2

Lo script analizza automaticamente la versione di Redis e segnala se è vulnerabile.

---

🐳 Prerequisiti

• Docker installato e in esecuzione
• Python 3.8+ (viene usata solo la stdlib)
• Un'immagine Docker di Redis 8.6.2 che usa apt (ad es. la redis:8.6.2 ufficiale)
• Il container deve essere creato con --privileged (richiesto per ptrace)

---

⚙️ Configurazione

1. Clona il repository

git clone https://github.com/YOUR_USERNAME/CVE-2026-23479-PoC.git
cd CVE-2026-23479-PoC

2. Avvia un container Redis vulnerabile

docker run -d --name redis-vuln-local --privileged -p 6379:6379 \
  redis:8.6.2 redis-server --protected-mode no

3. Installa GDB all'interno del container

docker exec -u root redis-vuln-local bash -c "
  apt-get update && apt-get install -y gdb binutils procps
"

4. Verifica

docker exec redis-vuln-local gdb --version
redis-cli -h 127.0.0.1 -p 6379 ping   # should return PONG

🚀 Utilizzo

python3 redisexp.py <target> -p <port> -m <mode> --container <name> [--cmd "command"]

Modalità

Modalità	Descrizione
crash	Tenta di innescare la UAF tramite pressione sulla memoria (nessun GDB richiesto). Redis potrebbe andare in crash, ma non è garantito.
gdb	Aggancia GDB e chiama freeClient() al breakpoint → forza un SIGSEGV (dimostra la UAF).
rce	Aggancia GDB e chiama system(cmd) al breakpoint → esegue un comando shell all'interno del container.
full	Esegue prima crash; se Redis non va in crash, ripiega su gdb.

---

Opzioni

Argomento	Predefinito	Descrizione
target	(obbligatorio)	Indirizzo IP del server Redis
-p, --port	6379	Porta Redis
-m, --mode	full	Una tra crash, gdb, rce, full
--container	env-redis-vuln-1	Nome del container Docker
--cmd	id > /tmp/pwned_by_cve	Comando da eseguire in modalità rce

---

📚 Esempi passo-passo

Nota: tutti i comandi vengono eseguiti dalla macchina host, non all'interno del container Docker.

1. Dimostra la UAF tramite GDB

python3 redisexp.py 127.0.0.1 -p 6379 -m gdb --container redis-vuln-local

Output atteso (estratto)

[+] Victim blocked on XREAD
[+] GDB script deployed
[*] Triggering unblock via XADD...
[+] SIGSEGV in processCommand after freeClient()
[+] This confirms the UAF code path in unblockClientOnKey()

Redis andrà in crash dopo il segmentation fault.

Riavvia il container:

docker start redis-vuln-local

---

2. Ottieni l'esecuzione remota di codice (RCE)

Riavvia Redis per garantire uno stato pulito:

docker restart redis-vuln-local

Esegui l'exploit:

python3 redisexp.py 127.0.0.1 -p 6379 -m rce \
  --cmd "touch /tmp/pwned" \
  --container redis-vuln-local

Verifica il file di prova:

docker exec redis-vuln-local ls -l /tmp/pwned

Se l'operazione riesce, il file esisterà, dimostrando che:

system("touch /tmp/pwned");

è stato eseguito all'interno del container Redis.

---

3. Innesca la UAF senza GDB (pressione sulla memoria)

python3 redisexp.py 127.0.0.1 -p 6379 -m crash --container redis-vuln-local

Se Redis termina in modo inaspettato (il container non è più in esecuzione), probabilmente la UAF è stata innescata.

Riavvia con:

docker start redis-vuln-local

---

4. Esegui il test completo

python3 redisexp.py 127.0.0.1 -p 6379 -m full --container redis-vuln-local

Questa modalità:

1. Tenta il crash tramite pressione sulla memoria.
2. Ripiega sul metodo assistito da GDB se Redis sopravvive.

---

📸 Output di esempio (modalità RCE)

============================================================
  CVE-2026-23479 Redis UAF Exploit PoC
============================================================
[*] Target: 127.0.0.1:6379
[*] Version: 8.6.2
[+] VULNERABLE

[*] Method: RCE via UAF code path injection
    Exploits CVE-2026-23479 UAF in unblockClientOnKey()
    Breakpoint on processCommandAndResetClient -> system()
    Command: touch /tmp/pwned