«Serveren stoler på klient-leverte modell-identifikatorer uten begrensning, og handler på den tilliten før den autentiserer brukeren som sender forespørselen.» Slik beskriver sikkerhetsselskapet HiddenLayer rotårsaken til ChromaToast, sporet som CVE-2026-45829: en pre-autentisert RCE i den åpne vektordatabasen ChromaDB. Hullet lar en uautentisert angriper starte et shell og overta hele serverprosessen.
Angrepet er forbløffende enkelt. Angriperen sender en forespørsel om å opprette en collection, helt uten legitimasjon, men som peker til en spesiallaget HuggingFace-modell. Serveren henter ned og kjører modellen før den sjekker om brukeren er autentisert. Det er to feil som forsterker hverandre: serveren stoler på klient-oppgitte modellnavn, og den handler på dem før autentisering.
«Til tross for at ingen legitimasjon ble oppgitt, godtar serveren forespørselen, når ut til HuggingFace, laster ned modellen vår og kjører den. Først da kjører serveren autentiseringssjekken og avviser forespørselen.» — HiddenLayer
Dette er ikke et nisjeproblem. ChromaDB har rundt 13 millioner pip-nedlastinger i måneden og brukes av blant andre Mintlify, Factory AI og Weights & Biases. Sårbarheten rammer alle versjoner siden 1.0.0, og HiddenLayer anslår at rundt 73 prosent av de internett-eksponerte installasjonene er sårbare. Vellykket utnyttelse gir tilgang til alt serveren kan nå: API-nøkler, miljøvariabler, monterte hemmeligheter og samtlige filer på disken.
Det mest urovekkende er responsen. HiddenLayer sier de forsøkte å varsle Chroma gjennom flere kanaler fra 17. februar uten å få svar, og en uavhengig forsker rapporterte hullet allerede i november 2025, også uten respons. Per ChromaDB 1.5.8 er det fortsatt ikke patchet. HiddenLayer mener en full retting ville flytte autentiseringssjekken før konfigurasjonen lastes, og fjerne nøkler kalt «kwargs» fra forespørslene.
Hva bør du gjøre?
- Steng nettverkstilgangen til ChromaDB slik at kun klarerte klienter når den. Det er den eneste kjente mitigeringen i dag.
- Anta kompromittering hvis instansen har vært eksponert mot internett, og roter API-nøkler, tokens og hemmeligheter den hadde tilgang til.
- Følg Chroma-repoet for en faktisk patch, og legg vektorlageret bak en autentisert proxy i mellomtiden hvis du bygger RAG på toppen.