dinosn/cve-2026-25243-debugfree
단일하게 조작된 RESTORE 하나로 jemalloc Redis에서 동작하는 신뢰할 수 있는 원격 코드 실행 —
DEBUG 명령 없이, /proc 없이, gdb 없이, ROP 없이, ASLR이 켜진 상태에서도 동작합니다. 공격자의 명령을
redis 프로세스 권한으로 실행합니다(기본 이미지에서는 root).
🔒 비공개 저장소 — 승인된 보안 연구 / 사전 공개 조정 전용. 재배포하지 마십시오. 이 버그는 업스트림에서 수정되었습니다(6.2.22 / 7.2.14 / 7.4.9 / 8.2.6 / 8.4.3 / 8.6.3, 커밋
b9dde6fc); 이 도구는 수정 전 경로를 대상으로 합니다.
기법은 엔드투엔드로 입증되었습니다 — 참조 하네스에서 새로 실행했을 때
system("id") → uid=0(root) (ASLR 켜짐, enable-debug-command no)가 실행되었으며, 2026-07-02에 확인되었습니다.
이 단일 파일 재패키징에서는 초기 단계가 작동이 확인되었지만(double-free, overlap,
arb-read → PIE와 libc/system 모두 올바르게 복구됨), 최종 누출 —
OFF_BLOBROBJ를 통한 blob_base — 은 할당 순서에 민감하며, 포함된 상수가
exploit.py의 groom(반복 blob_read_short)으로 깔끔하게 이전되지 않았습니다. 자신의 정확한 빌드+순서에 맞게
OFF_BLOBROBJ를 다시 보정(WRITEUP.md §7)한 후에 의존하십시오. 참조 실행 코드는
개발 하네스 pwn.py/pwnd.py입니다. 그 외의 모든 것은 검증되었습니다.
exploit.py — 독립형 PoC(표준 라이브러리만 사용). 상단의 PROFILE 딕셔너리에서 오프셋을 빌드하십시오.WRITEUP.md — 전체 기술 분석(버그, groom, DEBUG 없는 arb-read, 결정성, 마무리).python3 exploit.py --host <target> --port 6379 --cmd 'id' --tries 40
# redis 프로세스 권한으로 system("<cmd>")를 실행합니다. 대역외로 확인하거나 --cmd로 리버스 셸을 사용하십시오.
Redis 8.6.2 (8a8f1a3bb), jemalloc-5.3.0, x86-64, glibc bookworm, ASLR=2,
enable-debug-command no에서 검증됨. 다른 빌드에서는 PROFILE 오프셋을 다시 보정하십시오 —
WRITEUP.md §7 참조.
EVAL→clo → arb-read PIE (clo+33) → arb-read system (free@GOT) + blob_base (blob_robj)
→ 16MB blob에 가짜 dictType{hashFunction=system} 배치 → h2->dict->type 위조 → HGET h2 "<cmd>"
== system("<cmd>").