In 90 Minuten identifizierte ein IT‑Forscher mit Kimi K3 19 Zero‑Days in Redis 8.8.0; PoC auf GitHub, Updates für mehrere Branches verfügbar.
In Kürze
- 19 bislang unbekannte Schwachstellen in redis 8.8.0 entdeckt
- Proof‑of‑Concept‑Code auf GitHub veröffentlicht
- Maintainer haben Patches für mehrere Versionszweige freigegeben; CVEs noch ausstehend
Entdeckung durch Forscher und KI
Innerhalb von 90 Minuten hat ein IT‑Forscher zusammen mit der chinesischen KI Kimi K3 19 bislang unbekannte Sicherheitslücken (Zero‑Day) in der redis‑Version 8.8.0 identifiziert — und gleich Proof‑of‑Concept‑Code (PoC) auf GitHub veröffentlicht. Die Kombination aus menschlicher Expertise und KI‑Assistenz sorgte dafür, dass die Schwachstellen schnell katalogisiert und Beispiel‑Exploits bereitgestellt wurden.
Reaktion der Entwickler
Die Entwickler von redis haben inzwischen reagiert: Für mehrere Versionszweige wurden Updates freigegeben — unter anderem:
- 8.8.1
- 8.6.5
- 8.4.5
- 8.2.8
- 7.4.10
- 7.2.15
- 6.2.23
Diese Releases beheben Teile der gemeldeten Probleme; die Maintainer bestätigen, dass die Fehler existieren und nennen explizit Exploits wie den im Bericht genannten „P88W“. Vollständige CVE‑Einträge oder offizielle Klassifizierungen fehlen bislang noch, deshalb ist der formale Schweregrad noch nicht abschließend bewertet.
Warum das relevant ist
Zero‑Day bedeutet, dass eine Schwachstelle zuvor unbekannt war und es keine vorhandenen Schutzmaßnahmen gibt. Wird ein PoC öffentlich gemacht, fällt die Einstiegsschwelle für Angreifer deutlich — sie können vorhandenen Beispielcode adaptieren, statt eigene Exploits entwickeln zu müssen. Das erhöht das Risiko für alle Systeme, die verwundbare redis‑Versionen einsetzen.
Was du jetzt tun solltest
- Prüfe, welche redis‑Version auf deinen Systemen läuft, und spiele zeitnah das passende Update für deinen Versionszweig ein.
- Nutze die offiziellen Releases oder die Paketupdates deiner Linux‑Distribution, sobald diese bereitgestellt werden.
- Wenn du auf Produktionssystemen arbeitest, teste die Updates in einer sicheren Umgebung und überwache danach die Systeme auf Auffälligkeiten.
- Da der Quellcode offen liegt, kannst du auch selbst nach relevanten Änderungen oder Backports schauen.
Kurz zum Kontext der KI
Kimi K3 stammt vom chinesischen Start‑up Moonshot AI und konkurriert mit großen Modellen wie denen von OpenAI und Anthropic. Der Fall zeigt, dass Kimi K3 nicht nur Schwachstellen identifizieren, sondern auch Exploit‑Code erzeugen kann — ein Grund, weshalb das Modell aktuell verstärkte Nachfrage erfährt. Moonshot hat zugleich neue Abo‑Anmeldungen vorerst gestoppt, weil es an GPUs (den benötigten Rechenchips) mangelt.
Details (zum Nachlesen)
Der Forscher heißt Chaofan Shou, die getestete Basis war redis 8.8.0, und der PoC liegt in einem öffentlichen GitHub‑Repository. Redis‑Maintainer haben mehrere Sicherheitsupdates veröffentlicht; genaue CVE‑Zuweisungen stehen noch aus.
Quellen
- Quelle: Kimi K3 / redis
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
