🚨 CVE-2026-45829 - ChromaDB Vor-Authentifizierungs-RCE

Kritische Remote Code Execution in der ChromaDB Vektordatenbank

📌 Übersicht

CVE-2026-45829 ist eine kritische Pre-Authentifizierungs-RCE-Schwachstelle in ChromaDB, einer beliebten Open-Source-KI-Vektordatenbank.

Ein nicht authentifizierter Angreifer kann die Art und Weise ausnutzen, wie ChromaDB die Konfiguration von Embedding-Funktionen verarbeitet, um vollständige Remote-Code-Ausführung auf dem Server zu erreichen.

Wichtige Informationen

🧪 Wie der Exploit funktioniert

1. Der Angreifer sendet eine manipulierte POST-Anfrage an den Endpunkt zur Erstellung einer Sammlung.
2. ChromaDB verarbeitet die embedding_function-Konfiguration vor der Authentifizierung.
3. trust_remote_code=True erlaubt das Laden von bösartigem Code.
4. Der Angreifer kann über das model_name-Feld beliebigen Python-Code auf dem Server ausführen.

🎯 Erwartete Ergebnisse (wenn der Exploit funktioniert)

╔══════════════════════════════════════════════════════════════╗
║                 CVE-2026-45829 - ChromaDB RCE                ║
║                Pre-Auth Remote Code Execution                ║
╚══════════════════════════════════════════════════════════════╝

[*] Attacking ChromaDB → http://target:8000

[+] EXPLOIT SUCCESS!
[+] Command executed: whoami
[+] Check /tmp/chromapwned.txt on target

Nach Erfolg können Sie:

• /etc/passwd lesen
• Reverse Shell erhalten
• Umgebungsvariablen auslesen
• Hintertüren installieren

🛠 Gegenmaßnahmen

• Aktualisieren Sie ChromaDB sofort, wenn ein Patch veröffentlicht wird.
• Setzen Sie ChromaDB NICHT direkt dem Internet aus.
• Deaktivieren Sie trust_remote_code, falls möglich.
• Verwenden Sie starke Authentifizierung + Netzwerksegmentierung.

🔍 Shodan / FoFa Dorks

FoFa:

app="ChromaDB" || title="Chroma"

Shodan:

"ChromaDB" OR "Chroma HTTP Server" port:8000

⚠️ Rechtlicher Hinweis

Diese Informationen und der PoC werden ausschließlich zu Bildungs- und autorisierten Sicherheitstestzwecken bereitgestellt.
Nicht autorisiertes Scannen oder Ausnutzen von Systemen, die Ihnen nicht gehören, ist illegal.

Mit ❤️ gemacht für Sicherheitsforscher