भारत में AI एजेंट Kimi K3 ने Redis 8.8.0 में 19 Zero-Days ढूंढे

मीडिया सूत्रों के अनुसार Kimi K3 नाम के AI एजेंट्स ने Redis के zero-days ढूंढे और authenticated RCE exploits यानी दूर से कोड चलाने वाले हमले के नमूने तैयार कर दिए।

Redis ने 23 जुलाई को सात सुरक्षा अपडेट जारी किए। यह घटना उन लाखों भारतीय कंपनियों और डिजिटल सेवाओं के लिए खतरे की घंटी है जो इस तेज डेटाबेस सॉफ्टवेयर पर निर्भर हैं। आगे की रिपोर्ट में हम देखेंगे कि ये कमजोरियां कैसे काम करती हैं, भारत पर उनका असर कितना बड़ा है और आगे क्या करना चाहिए।

Redis में क्या हुआ

23 जुलाई को Redis कंपनी ने सात सुरक्षा रिलीज जारी किए। इनमें Redis 6.2.23, 7.2.15 और 7.4.10 शामिल हैं। इससे पहले शोधकर्ताओं ने stock Redis 6.2.22, 7.4.9, 8.6.4 और 8.8.0 वर्जन के लिए authenticated RCE PoCs यानी दूर से कोड चलाने वाले हमले के नमूने जारी कर दिए थे। सभी चार हमले के चेन में RESTORE कमांड की जरूरत पड़ती है। Streams वाले चेन में इसके अलावा EVAL और XGROUP कमांड भी लगते हैं। 8.8.0 वाले चेन में EVAL के साथ RedisBloom मॉड्यूल भी जरूरी है। Redis का कहना है कि underlying memory flaws यानी मेमोरी से जुड़ी गलतियां रिमोट कोड एक्जीक्यूशन यानी दूर से किसी भी कमांड को चलाने की क्षमता दे सकती हैं।

Added 8.8.0 RCE exploit in"। ये खबर इसलिए महत्वपूर्ण है क्योंकि Redis दुनिया भर की वेबसाइटों और ऐप्स में तेज डेटाबेस और कैश के रूप में इस्तेमाल होता है। अगर कोई authenticated यानी लॉगिन वाले यूजर इन कमजोरियों का फायदा उठाए तो पूरा सिस्टम उसके कब्जे में आ सकता है।

हालांकि Redis ने जल्दी पैच जारी करके खतरे को कम करने की कोशिश की। लेकिन शोधकर्ताओं द्वारा PoCs जारी करने के बाद कई सर्वर अभी भी पुराने वर्जन पर चल रहे होंगे। इसका मतलब है कि भारतीय कंपनियों को तुरंत अपडेट करना जरूरी है।

असली समस्या क्या है

ओपन सोर्स सॉफ्टवेयर जैसे Redis में zero-days यानी पहले से अज्ञात सुरक्षा कमजोरियां authenticated remote code execution यानी लॉगिन के बाद दूर से किसी भी कमांड को चलाने की क्षमता देती हैं। नतीजा यह कि हैकर्स डेटा चुरा सकते हैं या पूरा सिस्टम कंट्रोल कर सकते हैं। भारत में लाखों बिजनेस और डिजिटल सेवाएं Redis पर निर्भर हैं। अगर इनमें से कोई सर्वर हैक हो गया तो ग्राहकों का निजी डेटा, बैंक डिटेल्स या बिजनेस सीक्रेट्स बाहर आ सकते हैं। यही वजह है कि यह घटना सिर्फ टेक कंपनियों की नहीं बल्कि आम आदमी की सुरक्षा से जुड़ी है।

zero-days का मतलब है ऐसी बग्स जिनके बारे में सॉफ्टवेयर बनाने वाली कंपनी को भी पता नहीं होता। RCE का मतलब है हैकर आपके कंप्यूटर पर दूर से कोई भी प्रोग्राम चला सकता है। PoCs यानी Proofs of Concept वे सैंपल कोड हैं जो दिखाते हैं कि कमजोरी वाकई काम करती है।

आंकड़े क्या कहते हैं

इसका मतलब है कि Redis जैसी कमजोरियां करोड़ों कनेक्टेड नागरिकों को प्रभावित कर सकती हैं क्योंकि ज्यादातर ऑनलाइन सेवाएं इसी तरह के सॉफ्टवेयर पर चलती हैं। यानी लगभग हर कोई मोबाइल पर बैंकिंग, शॉपिंग या सोशल मीडिया इस्तेमाल करता है जो Redis जैसे बैकएंड सिस्टम पर निर्भर है। अगर ये सिस्टम कमजोर हुए तो आम यूजर्स का डेटा खतरे में पड़ सकता है।

भारत 1,212.44 (2024) secure internet servers प्रति 10 लाख लोगों पर रखता है। यह संख्या कम है जिसका मतलब है कि जब Redis जैसे लोकप्रिय टूल्स में zero-days आते हैं तो एक्सपोजर ज्यादा होता है। साथ ही R&D पर सिर्फ 0.65% (2020) GDP खर्च होने से स्वतंत्र रूप से ऐसी गंभीर खामियां ढूंढना और ठीक करना मुश्किल है।

ये आंकड़े दिखाते हैं कि भारत डिजिटल रूप से तेजी से बढ़ रहा है लेकिन सुरक्षा के मामले में अभी भी कमजोर है। Redis जैसी घटना इसी कमी को उजागर करती है।

यह क्यों हुआ

Redis एक लोकप्रिय ओपन सोर्स सॉफ्टवेयर है जो डेटा को बहुत तेजी से स्टोर और एक्सेस करने के लिए इस्तेमाल होता है। लेकिन जटिल फीचर्स जैसे Streams और मॉड्यूल्स जैसे RedisBloom के कारण मेमोरी हैंडलिंग में गलतियां हो जाती हैं। पिछले सालों में भी कई ओपन सोर्स टूल्स में इसी तरह की memory flaws आई हैं। उदाहरण के लिए Log4j की 2021 वाली कमजोरी ने दुनिया भर के सिस्टम को RCE का खतरा पैदा कर दिया था। Redis की यह घटना भी उसी पैटर्न को दोहराती है।

Kimi K3 जैसे AI एजेंट्स अब तेजी से zero-days ढूंढ रहे हैं। नतीजा यह कि कंपनियों को पुराने सॉफ्टवेयर को अपडेट रखना और भी जरूरी हो गया है।

“Kimi K3 found 19 0days in latest Redis 8.8.0 in 1.5hrs. Added 8.8.0 RCE exploit in”

भारत पर असर

भारतीय बिजनेस ओनर्स जो Redis सर्वर चला रहे हैं उन्हें पूरा सिस्टम कंट्रोल खोने और डेटा चोरी का खतरा है। डेवलपर्स और आईटी स्टाफ को इमरजेंसी पैचिंग करनी पड़ेगी जिससे सर्विस बंद हो सकती है। ऑनलाइन सेवाओं का इस्तेमाल करने वाले आम लोग अगर सर्वर हैक हुए तो उनके नाम, फोन नंबर, पते या पेमेंट डिटेल्स हैकर्स के हाथ लग सकते हैं। इसका मतलब रोजमर्रा की डिजिटल जिंदगी में सुरक्षा कम होना है।

कई छोटे स्टार्टअप्स बजट की कमी के कारण अपडेट करने में देरी करते हैं। यही वजह है कि Redis की ये कमजोरियां छोटे बिजनेस को सबसे ज्यादा नुकसान पहुंचा सकती हैं।

दूसरा पक्ष

Redis कंपनी ने बहुत तेजी से सात सुरक्षा रिलीज जारी किए। इससे साफ है कि वे समस्या को गंभीरता से ले रहे हैं। कई एक्सपर्ट्स कहते हैं कि ओपन सोर्स सॉफ्टवेयर में इतनी पारदर्शिता अच्छी बात है क्योंकि कमजोरियां जल्दी सामने आ जाती हैं। AI एजेंट्स जैसे Kimi K3 का इस्तेमाल सुरक्षा रिसर्च को तेज करता है। इससे भविष्य में सॉफ्टवेयर और मजबूत बन सकते हैं। साथ ही authenticated हमलों के लिए पासवर्ड या एक्सेस जरूरी है जिसका मतलब है कि पूरी तरह अनप्रोटेक्टेड सर्वर ही सबसे ज्यादा खतरे में हैं।

आगे क्या

अगले कुछ हफ्तों में कंपनियों को Redis 6.2.23, 7.2.15 और 7.4.10 पर अपडेट करना होगा। आईटी टीमों को सर्वर चेक करके पुराने वर्जन को तुरंत बदलना चाहिए। डेवलपर्स को RESTORE, EVAL और XGROUP कमांड्स के इस्तेमाल पर अतिरिक्त सावधानी बरतनी होगी। सरकार और इंडस्ट्री को मिलकर ओपन सोर्स सुरक्षा पर ज्यादा फंडिंग बढ़ानी चाहिए ताकि भारत खुद zero-days ढूंढ सके।

मुख्य बातें

1. Redis ने 23 जुलाई को सात सुरक्षा अपडेट जारी किए जिनमें 6.2.23, 7.2.15 और 7.4.10 शामिल हैं।
2. सभी exploits में RESTORE कमांड जरूरी है जबकि कुछ में EVAL, XGROUP या RedisBloom मॉड्यूल भी लगता है।

निष्कर्ष

Redis में मिली memory flaws और उनके RCE exploits ने दिखा दिया कि ओपन सोर्स सॉफ्टवेयर कितना महत्वपूर्ण लेकिन कमजोर भी हो सकता है।

अगले हफ्ते तक अपने Redis सर्वर का वर्जन चेक करें और जरूरी पैच लगा लें।