|
18.08.2026 14:06 Uhr |
Die Entwickler des In-Memory-Datenbanksystems Redis haben eine Reihe aktualisierter Versionen veröffentlicht. Sie schließen darin Sicherheitslücken, die bösartige Akteure zur Ausführung eingeschleusten Codes, zum Provozieren von Denial-of-Service-Zuständen oder etwa zur unbefugten Herausgabe von Informationen missbrauchen können.
Auf der Release-Übersichtsseite von Redis finden sich die neuen Fassungen, in denen die Programmierer die teils gravierenden Sicherheitslücken gestopft haben. Am Montagabend haben die Entwickler Version 8.10.1, 8.8.2, 8.6.6, 8.4.6, 8.2.9, 7.4.11, 7.2.16 und 6.2.24 veröffentlicht. Nicht alle Schwachstellen finden sich etwa auch in den älteren Fassungen, dennoch sollten Admins zügig die Aktualisierung einplanen und umsetzen.
Nur zu einer der Sicherheitslücken nennen die Redis-Programmierer einen CVE-Schwachstelleneintrag – der ist allerdings noch nicht öffentlich, die Risikoeinstufung bislang unbekannt. Bei CVE-2026-62356 handelt es sich um eine fehlerhaft berechnete Puffergröße beim Laden von RDBs, was zu Schreibzugriffen außerhalb der Speichergrenzen auf dem Heap führen kann. Ob das lediglich zum Crash führt oder zum Ausführen von eingeschmuggelten Schadcode dienen kann, erörtern die Entwickler nicht.
Schwerwiegender scheint eine Lücke, durch die bösartig manipulierte RDB-Daten mit einer Slot-ID außerhalb der Grenzen Speicherfehler beim Laden von RDBs erzeugen können, was möglicherweise in der Ausführung untergeschobenen Programmcodes mündet. Hierfür gibt es noch keinen CVE-Eintrag. Ins Auge sticht noch eine weitere Schwachstelle, durch welche die TLS-Zertifikat-Authentifizierung umgangen werden kann. Ein Client kann sich dadurch möglicherweise als ein anderer, potenziell mit höheren Rechten ausgestatteter User ausgeben.
Die Beschreibungen der weiteren Lücken lassen darauf schließen, dass Angreifer sie zum Provozieren von Denial-of-Service-Zuständen oder zum unbefugten Zugreifen auf Speicherbereiche und die darin liegenden Informationen nutzen können.
Im Juli wurde bekannt, dass ein IT-Forscher mit der chinesischen KI Kimi K3 einige Sicherheitslücken in Redis gefunden hat. Auf insgesamt 19 Zero-Day-Lücken kam der IT-Forscher. Die Redis-Programmierer reagierten darauf mit aktualisierten Softwarepaketen.
Siehe auch:
(dmk)