Repositori berabuddies telah merilis serangkaian bukti konsep (PoC) RCE non-destruktif untuk beberapa versi Redis dengan memanfaatkan kerentanan double free serta teknik bypass patch. Temuan ini menggarisbawahi bahwa proses patching pada perangkat lunak infrastruktur data yang kompleks sering kali tidak memadai untuk menghilangkan seluruh jalur eksploitasi, terutama ketika perbaikan dilakukan tanpa analisis mendalam terhadap root cause.
APA YANG TERJADI?
Tim peneliti berabuddies merilis eksploitasi yang memanfaatkan double free pada mekanisme stream consumer-group shared-NACK di Redis, yang merupakan bypass terhadap perbaikan CVE-2026-25243. Selain itu, mereka juga mendemonstrasikan kerentanan TDigest heap-overflow pada modul RedisBloom yang dibundel pada Redis 8.8.0, serta TopK wild free yang merupakan bypass terhadap perbaikan tidak lengkap untuk CVE-2026-25589 pada Redis 8.8.1. Semua eksploitasi ini memerlukan akses terotentikasi ke instance Redis dan penggunaan perintah spesifik seperti EVAL, RESTORE, dan XGROUP.
DETAIL TEKNIS
Double free pada stream consumer-group shared-NACK terjadi ketika sebuah entry stream di-NACK (not acknowledged) secara bersamaan oleh multiple consumer group tanpa penanganan referensi yang benar. Patch untuk CVE-2026-25243 memperbaiki satu jalur pemicu, namun berabuddies menemukan jalur alternatif yang sama-sama memicu kondisi double free melalui urutan perintah XGROUP yang berbeda. Pada Redis 8.8.0, TDigest heap-overflow dalam RedisBloom memungkinkan penimpaan struktur data TDigest melalui input yang dibuat secara khusus. TopK wild free pada Redis 8.8.1 adalah kondisi di mana pointer yang telah dibebaskan digunakan kembali karena patch CVE-2026-25589 tidak menangani semua jalur yang dapat mencapai kondisi race. Masing-masing eksploitasi dirancang untuk non-destruktif, artinya tidak merusak data persisten, dan memiliki tingkat reliabilitas tinggi pada kontainer segar.
DAMPAK TERHADAP INDONESIA
Redis banyak digunakan oleh startup teknologi, platform e-commerce, dan layanan fintech di Indonesia sebagai cache layer, message broker, dan database sesi. Banyak dari implementasi tersebut terekspos ke jaringan internal tanpa autentikasi yang memadai atau segmentasi. Jika seorang penyerang telah berada di dalam jaringan (melalui phishing atau kompromi endpoint), kerentanan ini memberikan jalur eskalasi dari akses lateral menjadi eksekusi kode pada server infrastruktur kritis. Fakta bahwa bypass patch tersedia juga mengingatkan kita bahwa penerapan patch saja tidak cukup; organisasi harus memverifikasi efektivitas mitigasi dan memantau perilaku anomali pada instance Redis mereka.
REKOMENDASI MITIGASI
Administrator sistem harus segera meningkatkan Redis ke versi terbaru yang telah diberi patch secara komprehensif. Namun, mengingat adanya bypass patch, disarankan untuk menerapkan pertahanan berlapis: aktifkan autentikasi kuat pada semua instance Redis, batasi akses melalui firewall dan segmentasi jaringan, nonaktifkan perintah berbahaya (EVAL, CONFIG, MODULE) jika tidak diperlukan, dan pantau log anomali pada penggunaan perintah XGROUP serta RESTORE. Penggunaan kontainer dengan namespace terisolasi juga dapat mengurangi dampak jika eksploitasi berhasil dieksekusi. Penyedia layanan cloud di Indonesia harus meninjau konfigurasi default Redis pada template yang mereka sediakan.
Analisa Retasan
Root cause teknis dari eksploitasi ini adalah kompleksitas manajemen siklus hidup objek pada struktur data stream Redis yang melibatkan mekanisme acknowledgment antar-consumer group. Double free dan wild free adalah indikator bahwa invariant referensi counting atau ownership semantics tidak ditegakkan secara konsisten di seluruh jalur kode. Fakta bahwa patch untuk CVE-2026-25243 dan CVE-2026-25589 dapat di-bypass mengindikasikan bahwa vendor menerapkan perbaikan symptom-driven daripada mengaudit seluruh state machine stream dan TopK module.
Cross-reference dengan kerentanan bypass patch pada perangkat lunak infrastruktur lain — seperti OpenSSL, OpenSSH, dan kernel Linux — menunjukkan bahwa patch yang dibuat tanpa pemahaman menyeluruh terhadap invariant memori sering kali hanya menggeser jalur eksploitasi. Penelitian sebelumnya pada allocator glibc dan jemalloc juga menunjukkan bahwa double free dapat dimanfaatkan untuk tumpukan tujuan (house of spirit, tcache poisoning) pada sistem 64-bit modern, menjadikannya teknik eksploitasi yang sangat andal.
Implikasi bagi Indonesia adalah bahwa dependensi terhadap perangkat lunak open-source kritis harus disertai dengan kapasitas internal untuk meninjau patch, menguji regresi keamanan, dan memahami konteks teknis di balik CVE. Organisasi Indonesia yang hanya mengandalkan notifikasi vendor dan jadwal patching otomatis tanpa validasi mandiri berisiko tinggi tertinggal dalam perlombaan senjata siber. Investasi pada tim keamanan aplikasi yang mampu melakukan code review dan fuzzing internal bukan lagi luxury, melainkan kebutuhan mutlak bagi penyedia layanan digital skala menengah ke atas.
