自主AI发现潜伏两年的Redis RCE漏洞 CVE-2026-23479

导语：在网络安全领域，传统扫描工具依赖已知特征码，面对复杂的逻辑漏洞往往束手无策。然而，2025年12月伦敦的ZeroDay.Cloud黑客竞赛上，一款名为Xint Code（辛特代码）的自主AI安全工具，挖出了Redis数据库中一个潜伏两年之久的远程代码执行漏洞。攻击者只需一个认证会话，就能以Redis服务权限在主机上执行任意系统命令。

一、事件背景

1.1 漏洞概况

该漏洞编号为CVE-2026-23479，美国国家漏洞数据库（NVD）给出的CVSS 3.1评分为8.8（高危），Redis官方则给出CVSS 4.0评分7.7。

漏洞类型为Use-After-Free（释放后重用，UAF），位于Redis的阻塞客户端代码路径中，具体函数为unblockClientOnKey()。当一个键事件唤醒被阻塞的命令时，该函数通过processCommandAndResetClient()分发队列中的命令——问题在于，该函数可能将客户端作为副作用释放，但调用者完全忽略返回值，继续使用已被释放的客户端指针，形成典型的释放后重用漏洞。

1.2 时间线与引入过程

该漏洞的”诞生”过程堪称讽刺：两个独立的代码提交单独看都无害，组合在一起却制造了一个高危漏洞。

2023年1月：PR #11012 引入了一个未检查的函数调用，为后续问题埋下伏笔。
2023年3月：PR #11568 在已释放的客户端之后添加了更多访问操作。
2023年：两个PR的组合随着Redis 7.2.0版本公开发布，漏洞正式进入稳定分支。
此后超过两年、多轮安全审查，该漏洞始终未被察觉。
2025年12月：Xint Code（辛特代码）自主AI工具在ZeroDay.Cloud黑客竞赛中将其挖出。
2026年5月5日：Redis官方发布全面补丁，覆盖全部五个维护版本分支。

二、漏洞利用链详解

2.1 利用条件

完整的攻击链需要认证会话具备以下ACL权限：

@admin（管理权限）
@scripting（Lua脚本执行）
@stream（流命令，如XREAD/XADD）
@read/@write（基本读写）

在默认部署中，Redis的默认用户已拥有上述所有权限，且大多数部署中这些权限被归入单一共享应用角色，使得攻击门槛进一步降低。

2.2 三阶段攻击链

第一阶段：堆地址泄漏

攻击者仅需一行Lua脚本：

EVAL "return tostring(redis.call)" 0

该脚本泄露Redis堆内存地址，绘制服务器内存布局图，为后续攻击提供必要的位置信息。

第二阶段：堆内存整形

攻击者通过CONFIG SET maxmemory-clients调整客户端内存限制，对堆进行”整形”，将一个臃肿的客户端停放在流（stream）上。随后降低内存限制并唤醒被阻塞的客户端——此时Redis在调用过程中释放了被阻塞的客户端，而攻击者通过管道化的SET命令立即用伪造的客户端结构体重占该已释放内存槽。

第三阶段：函数指针劫持

Redis在updateClientMemoryUsage()中的常规内存统计操作，会利用攻击者控制的字段执行一次越界递减，目标直指全局偏移表（GOT）。由于官方Redis Docker镜像采用部分RELRO（只读重定位），GOT在运行时仍可写，这使得攻击者得以将strcasecmp()函数重定向到system()。

下一条Redis解析的命令，将直接作为Shell命令执行。

ASLR和PIE在此无效，因为写入目标是基于构建时固定的全局偏移量，不受地址空间随机化影响。

三、影响范围与修复方案

3.1 受影响版本

分支	受影响版本	修复版本
Redis 7.2.x	7.2.0 – 7.2.13	7.2.14
Redis 7.4.x	7.4.0 – 7.4.8	7.4.9
Redis 8.2.x	8.2.0 – 8.2.5	8.2.6
Redis 8.4.x	8.4.0 – 8.4.2	8.4.3
Redis 8.6.x	8.6.0 – 8.6.2	8.6.3