Die Entwickler des In-Memory-Datenbanksystems Redis haben eine Reihe aktualisierter Versionen veröffentlicht. Sie schließen damit Sicherheitslücken, die bösartige Akteure zur Ausführung eingeschleusten Codes, zum Provozieren von Denial-of-Service-Zuständen oder zur unbefugten Herausgabe von Informationen missbrauchen könnten. Wenn du Redis einsetzt, solltest du die Aktualisierung zügig einplanen.
Diese Versionen sind betroffen
Am Montagabend veröffentlichten die Entwickler die Versionen 8.10.1, 8.8.2, 8.6.6, 8.4.6, 8.2.9, 7.4.11, 7.2.16 und 6.2.24. Nicht jede Schwachstelle steckt auch in den älteren Fassungen, dennoch solltest du die für deine Version passende Aktualisierung zeitnah umsetzen.
Nur eine Lücke mit offiziellem CVE-Eintrag
Nur zu einer der Sicherheitslücken nennen die Redis-Entwickler einen CVE-Eintrag, der allerdings noch nicht öffentlich ist und dessen Risikoeinstufung bislang unbekannt bleibt. CVE-2026-62356 beschreibt eine fehlerhaft berechnete Puffergröße beim Laden von RDB-Dateien, die zu Schreibzugriffen außerhalb der vorgesehenen Speichergrenzen auf dem Heap führen kann. Ob das lediglich zu einem Absturz führt oder sich auch zur Ausführung eingeschmuggelten Codes eignet, erläutern die Entwickler nicht.
Schwerwiegender wirkt eine weitere, noch nicht mit einem CVE-Eintrag versehene Lücke: Bösartig manipulierte RDB-Daten mit einer Slot-ID außerhalb der zulässigen Grenzen können beim Laden Speicherfehler erzeugen, was möglicherweise zur Ausführung untergeschobenen Programmcodes führt. Ebenfalls bemerkenswert ist eine Schwachstelle, über die sich die TLS-Zertifikat-Authentifizierung umgehen lässt. Ein Client könnte sich dadurch als anderer Nutzer ausgeben, im schlimmsten Fall mit höheren Rechten. Die Beschreibungen der übrigen Lücken deuten darauf hin, dass Angreifer sie nutzen könnten, um Denial-of-Service-Zustände zu provozieren oder unbefugt auf Speicherbereiche und die darin liegenden Informationen zuzugreifen.
Hintergrund: KI-gestützte Schwachstellensuche
Im Juli war bekannt geworden, dass ein IT-Forscher mithilfe der chinesischen KI Kimi K3 mehrere Sicherheitslücken in Redis aufgespürt hatte, insgesamt kam er auf 19 Zero-Day-Lücken. Die aktuellen Updates sind die Reaktion der Redis-Entwickler auf diese Funde. Der Fall zeigt erneut, wie KI-gestützte Schwachstellensuche die Zahl gemeldeter Lücken in weit verbreiteter Software erhöht.