В январе и марте 2023 года разработчики Redis внесли два небольших изменения в код — каждое выглядело безобидно и прошло проверки безопасности. Вместе они сложились в классическую ошибку use-after-free в функции unblockClientOnKey(): код освобождал память клиента, а потом продолжал с ней работать как ни в чём не бывало.
Никто не замечал проблему два года, пока на соревновании по взлому ZeroDay.Cloud в Лондоне её не нашёл автономный ИИ-инструмент Team Xint Code. Уязвимость позволяет любому авторизованному пользователю Redis через три этапа — утечку адреса, подмену структуры клиента и перехват системного вызова — выполнять произвольные команды прямо на сервере.
Особую остроту ситуации придаёт масштаб распространения Redis: по оценке Wiz, он встречается в большинстве облачных сред, причём многие экземпляры работают без пароля и с правами по умолчанию, которых достаточно для всей цепочки атаки. Полное техническое описание уже опубликовано — исправленные версии вышли 5 мая, и затягивать с обновлением не стоит.