Auf den Punkt: Redis schloss vier kritische RCE-Lücken in den Versionen 6.2, 7.4, 8.6 und 8.0 durch gepatchte Releases.
Redis hat am 23. Juli sieben Sicherheits-Updates veröffentlicht, nachdem Forscher für mehrere Versionen authentifizierte RCE-Exploits vorgestellt hatten. Die Lücken erfordern unterschiedliche Redis-Befehle und Module für die Ausnutzung.
Die betroffenen Redis-Versionen sind 6.2.22, 7.4.9, 8.6.4 und 8.8.0. Sicherheitspatches stehen in den Versionen 6.2.23, 7.2.15 und 7.4.10 zur Verfügung. Alle vier Exploit-Ketten nutzen den RESTORE-Befehl als Ausgangspunkt; zusätzlich benötigen die Streams-basierten Chains die Befehle EVAL und XGROUP, die 8.8.0-Variante setzt zudem auf EVAL und das gebündelte RedisBloom-Modul.
Die zugrunde liegenden Speicherverwaltungsfehler können nach Angaben von Redis zu Remote Code Execution führen. Der Angriff setzt eine vorhandene Authentifizierung voraus – es ist also kein unauthentifizierter Zugriff möglich.
Für CISOs bedeutet dies, dass Redis-Instanzen in der Infrastruktur mit Priorität aktualisiert werden sollten, wenn sie auf den betroffenen Versionen laufen. Besondere Aufmerksamkeit sollte Systemen gelten, bei denen der RESTORE-Befehl zur Verfügung steht und die zusätzlich die Streams-Module oder RedisBloom nutzen. Die Höhe des Risikos ist abhängig davon, wer Zugriff auf Redis-Authentifizierung in der Umgebung hat.
Quelle: thehackernews.com · Erschienen 24. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.