KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang menjalankan Redis dengan dukungan TLS untuk segera memperbarui ke versi yang telah diperbaiki atas CVE-2026-81934, kerentanan use-after-free pada fungsi tlsProcessPendingData() yang berpotensi memungkinkan eksekusi perintah dengan hak akses proses server Redis. Skor CVSS 4.0 di NVD adalah 7,5 (High).
Ikhtisar
Redis adalah penyimpan data dalam memori yang lazim dipakai sebagai cache, antrean pekerjaan, dan penyimpan sesi aplikasi web. CVE-2026-81934 adalah kerentanan Use After Free (CWE-416) pada kode yang memproses daftar data TLS yang tertunda (pending-data list). Kerentanan hanya relevan bila Redis dikonfigurasi dengan dukungan TLS; instalasi tanpa TLS tidak memuat jalur kode tersebut.
NVD mencatat vektor CVSS:4.0/AV:A/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N.
AV:A (dijangkau dari jaringan yang sama atau yang berdekatan), AC:H (kompleksitas serangan tinggi), dan PR:L (membutuhkan hak akses rendah). Deskripsi kerentanan sendiri menyatakan penyerang jarak jauh tanpa autentikasi mungkin dapat mengeksekusi perintah. Perbedaan ini menyangkut seberapa mudah kerentanan dieksploitasi, bukan seberapa besar dampaknya bila berhasil: dampak terhadap kerahasiaan, integritas, dan ketersediaan sama-sama tinggi (VC:H/VI:H/VA:H). Perlakukan server Redis ber-TLS sebagai prioritas pembaruan.
Dampak
- Penyerang yang berhasil dapat menjalankan perintah pada sistem operasi server dengan hak akses yang sama dengan proses Redis.
- Data yang tersimpan di Redis, seperti sesi pengguna, token, dan cache aplikasi, berisiko dibaca atau diubah.
- Server yang terkompromi dapat dijadikan titik awal untuk bergerak ke sistem lain di jaringan yang sama.
- Kegagalan memori juga dapat menyebabkan proses Redis berhenti dan mengganggu aplikasi yang bergantung padanya.
Sistem yang Terdampak
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| Redis 6.2.x | Semua versi sebelum 6.2.24 | 6.2.24 atau lebih baru |
| Redis 7.2.x | Semua versi sebelum 7.2.16 | 7.2.16 atau lebih baru |
| Redis 7.4.x | Semua versi sebelum 7.4.11 | 7.4.11 atau lebih baru |
| Redis 8.2.x | Semua versi sebelum 8.2.9 | 8.2.9 atau lebih baru |
| Redis 8.4.x | Semua versi sebelum 8.4.6 | 8.4.6 atau lebih baru |
| Redis 8.6.x | Semua versi sebelum 8.6.6 | 8.6.6 atau lebih baru |
| Redis 8.8.x | Semua versi sebelum 8.8.2 | 8.8.2 atau lebih baru |
| Redis 8.10.x | Semua versi sebelum 8.10.1 | 8.10.1 atau lebih baru |
| Redis Software (Enterprise) 7.8 | Semua versi sebelum 7.8.6-303 | 7.8.6-303 atau lebih baru |
| Redis Software (Enterprise) 7.22 | Semua versi sebelum 7.22.2-179 | 7.22.2-179 atau lebih baru |
| Redis Software (Enterprise) 8.0 | Semua versi sebelum 8.0.20-96 | 8.0.20-96 atau lebih baru |
| Redis Software (Enterprise) 8.2 | Semua versi sebelum 8.2.0-46 | 8.2.0-46 atau lebih baru |
Prasyarat: Redis dikonfigurasi dengan dukungan TLS. Paket Redis dari distribusi Linux dapat memakai penomoran dan cara backport tersendiri; periksa pengumuman keamanan distribusi yang dipakai.
Valkey. Valkey, turunan (fork) dari Redis, memuat kelemahan serupa pada fungsi yang sama dan dilacak terpisah sebagai CVE-2026-56684. Versi perbaikannya: 7.2.14, 8.0.10, 8.1.9, 9.0.5, dan 9.1.1. Pengguna Valkey perlu merujuk advisory Valkey, bukan tabel di atas.
Detail Teknis
Ketika TLS aktif, Redis menyimpan koneksi yang masih memiliki data tertunda dalam sebuah daftar dan memprosesnya satu per satu. Pada kondisi tertentu, objek dalam daftar itu dilepaskan dari memori tetapi masih diakses lagi, sehingga terjadi use-after-free. Kerusakan memori semacam ini dapat berakhir pada proses yang berhenti atau, pada kondisi tertentu, eksekusi kode.
Koordinator CISA mencatat adanya bukti konsep (proof of concept) untuk kerentanan ini, namun menilai eksploitasinya tidak dapat diotomatisasi dengan mudah. Rincian teknis lebih lanjut tidak dimuat di sini.
Rekomendasi
- Inventarisasi seluruh server Redis dan Valkey, termasuk yang berjalan sebagai kontainer atau bagian dari paket aplikasi, lalu catat mana yang mengaktifkan TLS (
tls-portatau opsi TLS lain diredis.conf). - Perbarui Redis ke versi perbaikan sesuai lini yang dipakai (lihat tabel). Untuk Redis Software (Enterprise), gunakan build perbaikan yang tercantum.
- Batasi akses jaringan ke port Redis melalui firewall atau kontrol akses sehingga hanya server aplikasi yang sah yang dapat terhubung. Redis tidak semestinya dapat dijangkau dari internet.
- Bila TLS tidak dibutuhkan pada koneksi tertentu dan pembaruan belum bisa dilakukan, nonaktifkan TLS sementara pada instance yang terisolasi dengan baik di jaringan lokal kantor. Langkah ini hanya sementara dan tidak menggantikan pembaruan.
- Pastikan Redis berjalan dengan akun sistem berhak akses minimum (bukan
root) dan autentikasi diaktifkan. - Tinjau log Redis dan log sistem terhadap proses yang berhenti tiba-tiba, koneksi dari alamat tidak dikenal, atau proses anak yang tidak lazim.
- Laporkan indikasi kompromi melalui kanal pelaporan resmi atau ke csirt@kutaitimurkab.go.id.
Catatan Status Eksploitasi
CVE-2026-81934 belum tercatat di katalog Known Exploited Vulnerabilities (KEV) CISA per 16 September 2026. Namun karena bukti konsep telah tersedia, Redis yang terekspos ke jaringan luas sebaiknya tetap diperbarui tanpa menunggu perubahan status tersebut.