LONDON / LONDON (IT BOLTWISE) – Redis hat einen Use-after-Free-Bug in der Blocking-Client-Logik geschlossen, der einen authentifizierten Angreifer zu Remote Code Execution führen kann. Die Schwachstelle CVE-2026-23479 blieb über zwei Jahre in mehreren stabilen Zweigen, bis ein autonomes KI-Tool sie in großen Codebasen nachspürte. Laut Analysen erhöhen typische Cloud- und Standard-Deployments das Risiko zusätzlich: Viele Instanzen laufen ohne Passwort bzw. mit Rollen, die die erforderlichen Privilegien bereits bündeln. Jetzt gilt: dringend patchen und die Rechteaufteilung für Admin-, Scripting- und Stream-Zugriffe neu bewerten.
Redis ist erneut in den Fokus geraten: Für CVE-2026-23479 hat der Datenbankhersteller einen Use-after-Free in der Blocking-Client-Implementierung gefixt, der in eine Kette übergeht, die schließlich beliebige OS-Kommandos ausführen kann. Besonders brisant ist nicht nur die RCE-Fähigkeit, sondern die lange Verweilzeit: Der Fehler soll mit Redis 7.2.0 eingeführt worden sein und sich bis zu den Fixes am 5. Mai in stabilen Branches gehalten haben. Bewertungen variieren dabei je nach Ansatz deutlich, mit einer CVSS-Einschätzung von 8,8 (NVD, CVSS 3.1) gegenüber 7,7 (Redis, CVSS 4.0), was zeigt, wie sehr Kontextannahmen das Risiko formen.
Technisch liegt das Problem in unblockClientOnKey() in src/blocked.c. Diese Routine wird aktiv, wenn ein Key-Event einen zuvor blockierten Befehl „aufweckt“. Dabei übergibt die Funktion die gepufferte Command-Queue an processCommandAndResetClient() und hält anschließend weiter am ursprünglichen Client-Pointer fest. Der entscheidende Fehler: Genau diese aufgerufene Logik kann den Client als Seiteneffekt freigeben, was bereits im Header-Kommentar angedeutet wird. Da der Caller keinen geeigneten Rückgabestatus prüft und die Struktur nach der Freigabe weiterliest, entsteht ein klassisches CWE-416 Use-after-free. Dieser Pfad ist damit ein Paradebeispiel dafür, wie ein einzelner fehlender Check in komplexen Event- und Client-States über Monate und Jahre durch Review- und Testzyklen rutschen kann.
Die Einordnung „wie“ der Bug entstanden ist, macht die Story für Security-Teams besonders lehrreich: Laut Analyse führte ein Refactor im Januar 2023 (PR #11012) die unüberprüfte Aufruflogik ein; im März 2023 (PR #11568) kamen anschließend weitere Stellen hinzu, die zusätzlich auf den Client zugreifen. Für sich genommen wirkten beide Änderungen noch harmlos oder zumindest beherrschbar, erst die Kombination erzeugte einen reproduzierbaren Weg in den gefährlichen Zustand. Aus dieser Perspektive sind Safety-Rails in C-Code nicht nur eine Frage „richtiger Algorithmen“, sondern auch sauberer Ownership-Modelle und Rückgabeverträge zwischen Funktionen. Genau solche Interaktionen sind es, bei denen autonome KI-Tools ihre Stärke ausspielen: Sie suchen nicht nach bekannten Patterns, sondern prüfen schwer auffindbare Zustandsübergänge über große Codebereiche hinweg.
Marktseitig verschärfen sich die Auswirkungen, weil typische Redis-Setups die Voraussetzungen der Exploit-Kette häufig schon erfüllen. Die veröffentlichte Kette benötigt zwar eine authentifizierte Session und mehrere Befehlsgruppen, darunter CONFIG SET, EVAL sowie Stream-Kommandos (XREAD/XADD) und grundlegende SET/GET-Funktionalität. Doch in Standard-Deployments hält der Default User in vielen Fällen bereits alle Privilegien bereit, die die einzelnen ACL-Kategorien (@admin, @scripting, @stream, @read/@write) für die Kette zusammenbringen. Wie Branchenexperten warnen, „ist nicht der Bug allein das Problem, sondern die Privilegien-Anordnung rund um ihn“: Wenn eine einzelne Rolle oder ein gemeinsam genutztes Operator- bzw. Applikationskonto die benötigten Rechte bündelt, wird aus einem theoretischen Pfad sehr schnell ein praktisches Angriffsmodell.
In diesem Zusammenhang kommt auch Cloud-Exposure als Verstärker ins Spiel. Wiz analysierte im Rahmen des Veröffentlichungs-Writeups, dass Redis in einer großen Mehrheit von Cloud-Umgebungen vorkommt und ein erheblicher Anteil davon ohne Passwortschutz betrieben wird. Damit steigt die Wahrscheinlichkeit, dass ein Angreifer bereits nach kurzer Initialzugriffsphase die notwendigen Session-Constraints erfüllt. Der Exploit selbst wird in mehreren Stufen beschrieben: Zuerst wird per One-Liner-Lua-Skript ein Heap-Pointer geleakt, anschließend wird Client-Speicher so „geformt“, dass die Freigabe des blockierten Clients mitten in einem Call passiert und eine nachfolgende SET-Operation den freigewordenen Slot mit einer gefälschten Client-Struktur belegt. Danach nutzt Redis seine Speicherbuchhaltung (updateClientMemoryUsage()) für eine Out-of-bounds-Korrektur, die auf Funktionszeiger abzielt und letztlich die Ausführung eines Systemkommandos ermöglicht.
Ein weiterer Detailpunkt betrifft die Container-Realität. Gerade das offizielle Redis-Docker-Image soll die letzten Hürden für moderne Exploits absenken, weil nur ein Teil von RELRO aktiv ist, wodurch das GOT (Global Offset Table) zur Laufzeit beschreibbar bleibt. ASLR und PIE helfen in diesem Szenario nur eingeschränkt, da der Schreibzugriff relativ zu einer globalen Größe erfolgt, deren Offset zur Build-Zeit feststeht. Das bedeutet: Selbst wenn ein System in der Theorie „hart“ konfiguriert wirkt, kann ein Image-Build-Charakter die Schutzwirkung praktisch aushebeln. Für Betreiber ist das ein klares Signal, die Sicherheitsannahmen aus der Build-Pipeline heraus zu überprüfen und nicht blind auf Defaults zu vertrauen.
Im Wettbewerb der In-Memory-Datenbanken lohnt ein Blick über den Tellerrand: Memcached oder andere Cache-/Key-Value-Engines gelten zwar oft als leichtergewichtig, aber die Sicherheitsfrage bleibt ähnlich—kritisch sind Event-/Command-Handling, Authentifizierungsgrenzen und die Privilegienverteilung. Der entscheidende Unterschied ist meist die Governance: Wie sauber werden Admin- und Scripting-Funktionen voneinander getrennt, und wie stark werden interne State-Maschinen in Bezug auf Speicher-Ownership abgesichert? Für Unternehmen, die Redis als Teil einer größeren Architektur nutzen, ist daher nicht nur „patchen“ wichtig, sondern auch eine Architekturentscheidung, ob Scripting-Funktionen und Stream-Funktionen in derselben Identität zusammenlaufen dürfen. Genau hier entsteht oft der grösste Gegenwert für Hardening, auch wenn der eigentliche Bug in Redis sitzt.
Aus der Community-Perspektive ist auffällig, dass die Entdeckung einem autonomen KI-Tool zugeschrieben wird, das Bugs in großen Codebasen jagt. Team Xint Code zeigte die funktionierende RCE-Demo bei ZeroDay.Cloud 2025, während Wiz die Findings im Rahmen eines Hack-Wettbewerbs in London publik machte. Die Botschaft dahinter ist zweigeteilt: Erstens verbessern solche Systeme die Chance, seltene Interaktionsfehler zu finden, die durch menschliche Review allein nicht immer zuverlässig erkannt werden. Zweitens verschiebt sich die Erwartungshaltung an „Time-to-Fix“: Wenn die Auffindbarkeit steigt, wird die Zeit bis zur Ausnutzung kürzer—selbst wenn in der Zwischenzeit keine In-the-Wild-Berichte auftauchten.
Für die nächsten Schritte gibt Redis konkrete Minor-Versionen für die relevanten Release-Linien vor: 7.2.14, 7.4.9, 8.2.6, 8.4.3 und 8.6.3. Ein wichtiger operativer Punkt: Minor-Upgrades innerhalb einer Serie sollen als Drop-in funktionieren. Dennoch gilt in vielen Unternehmen, dass Rollouts über Staging, Konfigurations-Checks und Monitoring abgesichert werden müssen, insbesondere wenn Redis als zentrales System „hot“ betrieben wird. Wer Managed Redis nutzt, sollte mit dem Anbieter den Patch-Zeitpunkt abstimmen; zugleich meldet Redis, dass Redis Cloud bereits aktualisiert sein soll. Ist das Patching kurzfristig nicht möglich, wird empfohlen, Redis konsequent aus dem öffentlichen Internet herauszunehmen und hinter TLS/Netzsegmentierung zu halten. Zusätzlich sollte die ACL-Strategie so angepasst werden, dass keine einzelne Rolle gleichzeitig @admin, CONFIG und @scripting gemeinsam mit Stream-Rechten bündelt. Den Stage-1-Leak per Lua gezielt zu unterbinden, indem @scripting deaktiviert wird, kann die konkrete Kette empfindlich bremsen—auch wenn der Use-after-free selbst damit nicht verschwindet.
Mit Blick auf die Future-Agenda ist die Meldung auch deshalb relevant, weil CVE-2026-23479 offenbar Teil einer Gruppe von mehreren RCE-Klassenfehlern im Redis-Umfeld ist, die im selben Zeitraum offengelegt wurden. Sie knüpft zudem an Redis’ RediShell-Schwachstelle aus 2025 an, ebenfalls ein authentifizierter Use-after-free mit Bezug zu Lua-Scripting. Daraus lässt sich für Betreiber ableiten, dass „Scripting plus State-Transitions“ ein wiederkehrendes Muster für riskante Eintrittspunkte bleibt. Developer und Security-Teams sollten daher die Testingstrategie schärfen: nicht nur Unit-Tests für Funktionspfade, sondern auch Fuzzing für Zustandswechsel und Ownership-Konsistenz, insbesondere rund um unblock-/wakeup-ähnliche Event-Logik. Wenn autonome KI-Systeme zunehmend in den Findungsprozess eingebunden werden, steigt die Wahrscheinlichkeit, dass solche Muster künftig häufiger und schneller sichtbar werden—wodurch sich auch die Erwartung an automatisierte Patch-Pipelines und Rechte-Refactoring im Unternehmen beschleunigt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Redis-RCE via Use-after-Free: KI-Finder entdeckt CVE-2026-23479 nach 2 Jahren" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Redis-RCE via Use-after-Free: KI-Finder entdeckt CVE-2026-23479 nach 2 Jahren" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Redis-RCE via Use-after-Free: KI-Finder entdeckt CVE-2026-23479 nach 2 Jahren« bei Google Deutschland suchen, bei Bing oder Google News!