32 KI-Agenten jagen Redis-Bugs: Kimi K3 soll 19 Zero-Days und fertige Exploits gefunden haben
32 KI-Agenten mit Moonshots Kimi K3 sollen laut Forschern 19 unbekannte Redis-Lücken samt Exploit-Code gefunden haben. Redis selbst bestätigt nur die Fehler an sich.
Ein Forscherteam, das unter dem Namen "Bera Buddies" auftritt, hat nach eigenen Angaben Moonshots Sprachmodell Kimi K3 mit 32 spezialisierten Agenten auf den Quellcode der Datenbank Redis losgelassen. DAs Ergebnis: 19 bislang unbekannte Sicherheitslücken und einsatzfähiger RCE-Exploit-Code für mehrere Versionen wurden gefunden.
90 Minuten für 19 Schwachstellen
Laut dem Forscher Chaofan Shou fanden die Kimi-K3-Agenten die Lücken in rund anderthalb Stunden, ein einzelner Agenten-Lauf soll einen funktionierenden Exploit in 27 Minuten produziert haben. Veröffentlicht wurde die Sammlung im Github-Repository "redis-poc". Redis selbst reagierte bereits vorher: Am 23. Juli erschienen sieben Sicherheitsupdates, die beide zugrunde liegenden Speicherfehler über alle betroffenen Versionszweige hinweg schließen.
Die Speicherfehler im Detail
Zwei unterschiedliche Fehlerklassen sind hierbei zu unterscheiden. Die erste steckt in Redis' Streams-Funktion und dreht sich um sogenannte streamNACK-Zeiger, mit denen das System offene Zustellungen pro Consumer verwaltet.
- Lädt man ein manipuliertes RDB-Backup, geraten zwei Consumer unbemerkt an denselben Zeiger. Entfernt man danach beide, gibt Redis denselben Speicherbereich zweimal frei.
- Betroffen sind die Stock-Versionen 6.2.22, 7.4.9 und 8.6.4; behoben wurden die Lücken in den Versionen 6.2.23, 7.2.15, 7.4.10, 8.2.8, 8.4.5 und 8.6.5.
Die zweite Schwachstelle betrifft den TDigest-Loader des Redisbloom-Moduls: Er reserviert Speicher auf Basis eines mitgelieferten Werts, zieht für die eigentliche Datenmenge aber ein zweites, unabhängig manipulierbares Feld heran. Weichen beide Werte voneinander ab, schreibt der Loader über die reservierte Grenze hinaus. Betroffen ist Redis 8.8.0; geschlossen wurde die Schwachstelle mit Version 8.8.1.
Offiziell bestätigt Redis nur die Speicherfehler selbst sowie die dazugehörigen Fixes. Bei der Einordnung gibt es indes Ungereimtheiten: Das Github-Repository ordnet die Streams-Lücke der Nummer CVE-2026-25589 zu, Redis selbst weist genau diese CVE jedoch der Redisbloom-Lücke zu.
Mitmachen und kommentieren
Wie stehen Sie zu diesem Thema? Die PCGH-Redaktion freut sich über Ihre fundierte Meinung in den Kommentaren zu dieser Meldung. Sollten Sie noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 Youtube oder 💬 Whatsapp und erhalten Sie Neuigkeiten zu Grafikkarten, CPUs und Gaming direkt in Ihrem Feed.
Einfacher gesagt: Er speichert Daten im RAM statt auf einer Festplatte, was ihn extrem schnell macht. Entwickler nutzen ihn, um Websites und Anwendungen zu beschleunigen, indem sie häufig abgerufene Daten (wie Nutzer-Sessions, Bestenlisten oder Echtzeitanalysen) vorübergehend zwischenspeichern, damit die Hauptdatenbank nicht ständig neu abgefragt werden muss.
Er gehört zu den gängigsten Komponenten der Backend-Infrastruktur und ist praktisch in jedem großen Produktionsstack vorhanden. Deshalb wäre das Auffinden von 19 Zero-Day-Exploits darin eine große Sache.