Kritische Sicherheitslücke in Redis: 13 Jahre alter Fehler ermöglicht Remote-Code-Ausführung

LONDON (IT BOLTWISE) – Eine schwerwiegende Sicherheitslücke in der Redis-Datenbanksoftware wurde aufgedeckt, die es Angreifern ermöglicht, unter bestimmten Bedingungen aus der Ferne Code auszuführen. Diese Schwachstelle, die seit 13 Jahren im Code existiert, stellt ein erhebliches Risiko für Unternehmen dar, die Redis einsetzen.

Redis, eine weit verbreitete In-Memory-Datenbanksoftware, hat eine kritische Sicherheitslücke offengelegt, die als CVE-2025-49844 oder RediShell bekannt ist. Diese Schwachstelle hat die höchste CVSS-Bewertung von 10.0 erhalten, was ihre Schwere unterstreicht. Die Lücke ermöglicht es einem authentifizierten Benutzer, durch speziell gestaltete Lua-Skripte den Garbage Collector zu manipulieren und eine Use-After-Free-Situation auszulösen, die potenziell zur Ausführung von Remote-Code führen kann.

Die Sicherheitslücke betrifft alle Redis-Versionen, die Lua-Skripting unterstützen. Um die Ausnutzung zu verhindern, ist es entscheidend, dass Redis-Instanzen nicht ungeschützt im Internet zugänglich sind und mit starker Authentifizierung gesichert werden. Redis hat bereits Updates für die Versionen 6.2.20, 7.2.11, 7.4.6, 8.0.4 und 8.2.2 veröffentlicht, um dieses Problem zu beheben.

Als temporäre Lösung wird empfohlen, die Ausführung von Lua-Skripten zu verhindern, indem eine Zugriffskontrollliste (ACL) eingerichtet wird, die die Befehle EVAL und EVALSHA einschränkt. Nur vertrauenswürdige Identitäten sollten in der Lage sein, Lua-Skripte oder andere potenziell riskante Befehle auszuführen. Die Sicherheitsfirma Wiz, die den Fehler am 16. Mai 2025 entdeckt und gemeldet hat, beschreibt ihn als Speicherfehler, der seit etwa 13 Jahren im Redis-Quellcode existiert.

In einem hypothetischen Angriffsszenario könnte ein Angreifer ein bösartiges Lua-Skript senden, das zu einer willkürlichen Codeausführung außerhalb der Redis-Lua-Sandbox führt und ihm unbefugten Zugriff auf das zugrunde liegende Host-System gewährt. Dies könnte genutzt werden, um Anmeldedaten zu stehlen, Malware zu platzieren, sensible Daten zu exfiltrieren oder auf andere Cloud-Dienste zuzugreifen.

Obwohl es keine Hinweise darauf gibt, dass die Schwachstelle bisher in freier Wildbahn ausgenutzt wurde, sind Redis-Instanzen ein attraktives Ziel für Bedrohungsakteure, die Kryptojacking-Angriffe durchführen und sie in ein Botnetz einbinden möchten. Derzeit sind etwa 330.000 Redis-Instanzen im Internet exponiert, von denen etwa 60.000 keine Authentifizierung aufweisen. Angesichts der weit verbreiteten Nutzung und der standardmäßig unsicheren Konfigurationen stellt diese Schwachstelle ein erhebliches Risiko für Organisationen in allen Branchen dar.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

30,50 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

36,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!