redis-cve-2026-23479-check

당신은 당신대로, 나는 나대로. 우리는 컨텍스트를 공유합니다.

당신의 Redis는 당신의 것으로 남습니다; 검사기는 INFO 한 줄만 읽고 아무것도 변경하지 않습니다.

CVE-2026-23479를 위한 안전한 읽기 전용 버전 검사기 — Redis의 블로킹 클라이언트 코드에서 발생하는 use-after-free로, 인증된 사용자가 호스트에서 원격 코드 실행에 도달할 수 있게 합니다.

이 도구는 버그를 익스플로잇하지 않습니다. 연결하고, 선택적으로 인증하고, 읽기 전용 INFO server 한 번을 실행하고, 버전을 파싱한 뒤 수정 릴리스 목록과 비교합니다. 블로킹 명령을 절대 보내지 않으며 취약한 코드 경로를 절대 건드리지 않습니다. 소유하고 있거나 명시적으로 테스트 권한을 받은 인스턴스에만 사용하세요.

왜 중요한가

"인증된"이라는 말은 안심이 되지만, Redis가 실제로 배포되는 방식을 떠올리면 그렇지 않습니다: 수년간 기본값은 비밀번호 없음이었고, 지금도 내부적으로 아무도 방화벽을 두지 않는 신뢰받는 캐시/큐/세션 서버입니다. 모든 앱 서버가 이미 접근할 수 있는 컴포넌트에 대한 인증된 RCE가 플랫 네트워크에 있다면, 이는 측면 이동의 초고속도로입니다. 그리고 이 글을 쓰는 시점에 공개 PoC는 없습니다 — 즉 당신은 폭발 이전에 서 있는 것입니다. 그곳이 방어자가 설 수 있는 가장 저렴한 위치입니다. 활용하세요: 노출된 인스턴스를 찾아 익스플로잇이 등장하기 전에 패치하세요.

버그

• CVE-2026-23479 · 블로킹 클라이언트 처리에서의 use-after-free. 블로킹된 클라이언트가 블로킹 명령을 재실행하는 동안 제거될 때, 인증된 사용자가 UAF를 트리거할 수 있습니다 → 잠재적 RCE.
• 도입: Redis 7.2.0. 2026-05-05 수정 전까지 모든 안정 브랜치에 존재.
• CVSS: 8.8 (NVD, CVSS 3.1) · 7.7 (Redis, CVSS 4.0).
• 수정된 버전: 6.2.22, 7.2.14, 7.4.9, 8.2.6, 8.4.3, 8.6.3.

사용법

의존성 없음 — Python 3만 필요.

python3 check.py <host> [-p PORT] [-a PASSWORD] [--user ACL_USER] [--tls] [--insecure]

예시:

python3 check.py 127.0.0.1
python3 check.py redis.internal -p 6380 -a "$REDIS_PASSWORD"
python3 check.py redis.example.com --tls            # cert verified by default
python3 check.py redis.internal --tls --insecure    # self-signed internal cert (opt-in)

종료 코드는 패치됨/영향 없음일 때 0, 조치가 필요할 때(취약/확인 필요) 1이므로 CI에 바로 넣을 수 있습니다:

python3 check.py "$REDIS_HOST" -a "$REDIS_PASSWORD" || echo "::warning::Redis needs the CVE-2026-23479 patch"

VULNERABLE이라고 나온다면

1. 해당 브랜치의 수정 릴리스(위 참조)로 업그레이드하세요.
2. 즉시 패치할 수 없는 대상에는: 인증을 요구하고 비밀번호를 교체하며, Redis 포트를 네트워크 정책 뒤에 두어 필요한 서비스만 접근할 수 있게 하세요 — 전체 VLAN이 아니라. 공격자가 포트에 도달할 수 없고 인증할 수도 없다면, 인증된 UAF는 그들이 건드릴 수 없는 버그입니다.

익스플로잇 탐지

detection/redis-cve-2026-23479.sigma.yml을 참조하세요 — 모든 Redis RCE의 결과(redis-server 프로세스가 셸이나 예상치 못한 자식 프로세스를 생성하는 것)를 잡아내는 호스트 기반 Sigma 규칙으로, 정확한 익스플로잇 패킷을 핑거프린팅하려는 것보다 훨씬 견고합니다.

---

DugganUSA 제공: 검증 가능한 위협 인텔리전스. DugganUSA Feed (STIX 2.1, 무료 티어, 실시간 카운트). 무료 키 등록 · 우리는 방패를 제공합니다, 칼이 아닙니다.