Kritische Sicherheitslücke in Redis: CVSS 10.0 Schwachstelle entdeckt

LONDON (IT BOLTWISE) – Eine schwerwiegende Sicherheitslücke in der Redis-Datenbanksoftware wurde entdeckt, die potenziell zur Ausführung von Remote-Code führen kann. Diese Schwachstelle, bekannt als CVE-2025-49844 oder RediShell, hat eine CVSS-Bewertung von 10.0 erhalten. Obwohl die Ausnutzung dieser Schwachstelle eine Authentifizierung erfordert, sind weltweit etwa 330.000 Redis-Instanzen dem Internet ausgesetzt, was ein erhebliches Risiko für Unternehmen darstellt.

Redis, ein führender Anbieter von In-Memory-Datenbanklösungen, hat kürzlich eine kritische Sicherheitslücke in seiner Software bekannt gegeben. Diese Schwachstelle, die als CVE-2025-49844 oder RediShell bekannt ist, ermöglicht es Angreifern, unter bestimmten Bedingungen Remote-Code auszuführen. Die Schwachstelle wurde mit der höchstmöglichen CVSS-Bewertung von 10.0 eingestuft, was die Dringlichkeit der Situation unterstreicht.

Die Schwachstelle betrifft alle Versionen von Redis, die Lua-Skripting unterstützen. Ein Angreifer könnte ein speziell gestaltetes Lua-Skript verwenden, um den Garbage Collector zu manipulieren und eine Use-After-Free-Situation auszulösen, die letztlich zur Ausführung von beliebigem Code führen könnte. Dies erfordert jedoch, dass der Angreifer zunächst authentifizierten Zugriff auf eine Redis-Instanz erhält, was die Wichtigkeit einer starken Authentifizierung und der Absicherung von Redis-Instanzen gegen unbefugten Zugriff betont.

Die Sicherheitslücke wurde von der Cloud-Sicherheitsfirma Wiz entdeckt und am 16. Mai 2025 an Redis gemeldet. Wiz beschreibt die Schwachstelle als einen Use-After-Free-Fehler, der seit etwa 13 Jahren im Quellcode von Redis existiert. Diese Schwachstelle könnte es einem Angreifer ermöglichen, ein bösartiges Lua-Skript zu senden, das die Sandbox des Lua-Interpreters verlässt und Zugriff auf das zugrunde liegende Host-System gewährt.

Obwohl es keine Hinweise darauf gibt, dass die Schwachstelle bisher in freier Wildbahn ausgenutzt wurde, sind Redis-Instanzen ein attraktives Ziel für Bedrohungsakteure, die Kryptojacking-Angriffe durchführen oder Botnetze aufbauen wollen. Berichten zufolge sind weltweit etwa 330.000 Redis-Instanzen dem Internet ausgesetzt, von denen etwa 60.000 keine Authentifizierung erfordern. Diese Kombination aus weit verbreiteter Nutzung, unsicheren Standardeinstellungen und der Schwere der Schwachstelle schafft einen dringenden Bedarf an sofortigen Gegenmaßnahmen.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

30,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Vikye KI -Roboter Angetrieben von Deepseek, Smart Talking Desk Companion mit 1,28 "Bildschirm, Sprachsteuerung, WLAN -Wetteruhr und Bluetooth Music Player

30,50 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

ZOOI Geschenke für Männer, Geburtstagsgeschenk für Männer, Gadgets für Männer, Geschenke für Papa Geschenk Männergeschenk Adventskalender Füllung Männer, Bluetooth Lautsprecher mit Handyständer

20,99 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

QCOQ® Air Tags 4er Pack Schwarz, Schlüsselfinder & Air Tracker Tagg Kompatibel mit Apple Wo ist? App (Nur iOS), Smart Key Finder mit Schlüsselband, Koffer-Tracker für Taschen/Keys, Austauschbarer Akku

36,99 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

EIlik - Ein Desktop-Begleitroboter mit emotionaler Intelligenz, Multi-Roboter-Interaktionen, Desktop-Robotik-Partner

169,00 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!