CVE-2026-23479

Nome do Software Vulnerável e Versões Afetadas redis-server versões 7.2.0 até 8.6.3

Description Um invasor autenticado pode desencadear uma condição de uso após liberação (use-after-free) no fluxo de desbloqueio do cliente quando um cliente bloqueado é desalojado. Isso ocorre porque o sistema não lida adequadamente com um retorno de erro da função processCommandAndResetClient() ao reexecutar um comando bloqueado. Essa falha pode ser explorada para executar comandos arbitrários do sistema operacional no servidor. A cadeia de exploração envolve o uso de um script Lua para vazar um ponteiro de heap, a manipulação da memória do cliente e a sobrescrita de um ponteiro de função na Tabela de Deslocamento Global (Global Offset Table) para redirecionar uma função de string padrão para system(). Este problema esteve presente em todos os ramos estáveis por mais de dois anos e é particularmente crítico para implantações padrão que não possuem senha ou utilizam funções excessivamente permissivas.

Recommendations Atualize o redis-server para a versão 7.2.14 ou posterior. Atualize o redis-server para a versão 7.4.9 ou posterior. Atualize o redis-server para a versão 8.2.6 ou posterior. Atualize o redis-server para a versão 8.4.3 ou posterior. Atualize o redis-server para a versão 8.6.3 ou posterior. Como mitigação temporária, desative o scripting Lua se não for necessário para interromper a cadeia de exploração. Restrinja o acesso ao Redis apenas a redes confiáveis e evite expor o serviço diretamente à internet. Reforce as Listas de Controle de Acesso (ACLs) para garantir que nenhuma função individual possua as permissões u/admin e u/scripting simultaneamente.