NERDMANChromaDB-Lücke öffnet KI-Server für Hacker
Eine kritische Sicherheitslücke in ChromaDB lässt Angreifer fremde Server kapern. Betroffen: tausende KI-Apps, die auf der Vektor-Datenbank laufen.
Was konkret passiert ist
Die neueste Python-FastAPI-Version von ChromaDB hat ein Loch der Härtegrad-Stufe "maximal". Unauthentifizierte Angreifer können beliebigen Code auf exposed Servern ausführen. Kein Login, kein Token, nichts.
Zahlenbox
- 10.0** — CVSS-Score, das absolute Maximum
- Unauthenticated** — keine Zugangsdaten nötig
- Remote Code Execution** — volle Kontrolle über den Server
- Tausende** — potenziell betroffene KI-Anwendungen
Warum das KI-Devs trifft
ChromaDB ist die Lieblings-Vektor-Datenbank für RAG-Systeme. Wer einen Chatbot mit eigenen Dokumenten baut, nutzt mit hoher Wahrscheinlichkeit Chroma. Heißt: Embeddings, Firmen-Dokumente, Kundendaten — alles liegt da drin.
💡 Was das bedeutet
Ein Angreifer übernimmt nicht nur den Server. Er greift auf den kompletten Wissensspeicher der KI-App zu. Interne PDFs, Mail-Archive, API-Keys in Prompts — alles offen. Für jeden, der die Lücke kennt und einen ungepatchten Server findet.
✅ Pro
- Patch ist verfügbar, Update sofort möglich
- Lücke wurde verantwortungsvoll gemeldet
❌ Con
- Viele Self-Hosted-Instanzen laufen ungepatcht weiter
- Vektor-Datenbanken enthalten oft sensible Trainingsdaten
- KI-Startups vernachlässigen Infra-Security regelmäßig
