Die Schwachstelle wurde bereits am 17. Februar 2025 dem ChromaDB-Projekt gemeldet, doch das Entwicklerteam schweigt bislang zu Patchingmaßnahmen. HiddenLayer-Forscher berichten von erfolglos gebliebenen Kontaktversuchen über E-Mail und Social Media. Die Sicherheitslücke offenbart ein fundamentales Problem in der Authentifizierungslogik des Python-API-Servers: Ein als authentifiziert markierter Endpunkt erlaubt es Angreifern, Modelleinstellungen einzuschleusen, bevor die Authentifizierungsprüfung erfolgt.
Die Angriffsmechanik ist bemerkenswert: Durch eine speziell präparierte Anfrage zwingen Angreifer ChromaDB, ein schadhaftes Machine-Learning-Modell von der Hugging-Face-Plattform zu laden und lokal auszuführen. Die Authentifizierungsprüfung findet erst nach dieser Ausführung statt – zu spät. “Die Authentifizierung fehlt nicht, sie steht nur an der falschen Stelle”, erklärt HiddenLayer. Der Server lehnt die Anfrage zwar ab und gibt einen HTTP-500-Fehler zurück, doch der Payload des Angreifers hat zu diesem Zeitpunkt bereits Schaden angerichtet.
Besonders besorgniserregend: Rund 73 Prozent der über das Internet zugänglichen ChromaDB-Instanzen führen verwundbare Versionen aus. Die Lücke wurde mit Version 1.0.0 eingeführt und blieb bis Version 1.5.8 ungepflegt. Nutzer, die ChromaDB lokal ohne öffentliche API-Exposition oder mit dem Rust-Frontend betreiben, sind nicht gefährdet.
Für Unternehmen gibt es mehrere sofortige Schutzmaßnahmen: Die Migration zum Rust-Frontend, die lokale Beschränkung von ChromaDB-Servern oder die Netzwerk-Isolation des API-Ports. Zusätzlich empfehlen Sicherheitsforscher das Scannen von ML-Modell-Artefakten vor der Laufzeit, da die Verwendung öffentlicher Modelle mit aktiviertem ’trust_remote_code’ faktisch die Ausführung nicht vertrauenswürdigen Codes bedeutet.
Diese Lücke unterstreicht ein wachsendes Problem im AI-Sektor: Viele moderne Anwendungen integrieren externe Modelle ohne ausreichende Sicherheitsüberprüfungen. Das Fehlen einer transparenten Kommunikation des Chroma-Teams verschärft das Vertrauen in die Projektmaintenance erheblich und mahnt zu größerer Vorsicht bei der Auswahl von KI-Infrastruktur-Komponenten.