B
今週中
オープンソースのベクトルデータベースChromaDBのPython FastAPIサーバーに、未認証のリクエストでリモートコード実行（RCE）が可能な深刻な脆弱…
📌 一言でいうと
オープンソースのベクトルデータベースChromaDBのPython FastAPIサーバーに、未認証のリクエストでリモートコード実行（RCE）が可能な深刻な脆弱性（CVE-2026-45829）が発見されました。攻撃者が悪意のあるHugging Faceモデルを指定し、権限チェック前にモデルをロードさせることで、サーバー上で任意のコードを実行させることができます。この問題はPython実装のサーバーに影響し、Rust実装のサーバーでは発生しません。最新バージョンへの更新またはアクセス制限などの対策が推奨されています。
🔍該当判定
- AIアプリ開発などで「ChromaDB」というベクトルデータベースを利用している
- ChromaDBを「Python FastAPIサーバー」形式で動作させている
- ChromaDBのサーバーを、外部（インターネット等）からアクセス可能な状態で公開している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. ChromaDBを最新バージョン（1.5.9以降）にアップデートし、公式の修正状況を確認する。
2. Python実装ではなく、Rust実装のサーバーへの移行を検討する。
3. Pythonサーバーを継続利用する場合、ファイアウォール等で接続ポートを制限し、信頼できるクライアントのみがアクセスできるように設定する。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】ChromaDB CVE-2026-45829 (RCE) 対応について
お疲れさまです。ChromaDBの脆弱性に関する情報共有です。
■ 概要
ChromaDBのPython FastAPIサーバーにおいて、未認証の状態でリモートコード実行（RCE）が可能な脆弱性が報告されました。権限チェック前にモデルのロード処理が行われるため、悪意のあるHugging Faceモデルを読み込ませることで攻撃者が任意のコードを実行できる可能性があります。
■ 影響範囲
- 対象製品: ChromaDB (Python FastAPIサーバー実装)
- 影響バージョン: 1.0.0 ～ 1.5.8 (1.5.9で修正された可能性があるが、公式発表を確認のこと)
■ 対応手順
1. 利用中のChromaDBのバージョンを確認し、最新版へアップデートしてください。
2. 可能であれば、本脆弱性の影響を受けないRust実装のサーバーへの切り替えを推奨します。
3. 暫定対応として、ChromaDBの接続ポートへのアクセスを信頼できるIPアドレスのみに制限してください。
■ 参考情報
- HiddenLayer 公開レポート
対応優先度: 高
対応期限: 速やかに
お疲れさまです。ChromaDBの脆弱性に関する情報共有です。
■ 概要
ChromaDBのPython FastAPIサーバーにおいて、未認証の状態でリモートコード実行（RCE）が可能な脆弱性が報告されました。権限チェック前にモデルのロード処理が行われるため、悪意のあるHugging Faceモデルを読み込ませることで攻撃者が任意のコードを実行できる可能性があります。
■ 影響範囲
- 対象製品: ChromaDB (Python FastAPIサーバー実装)
- 影響バージョン: 1.0.0 ～ 1.5.8 (1.5.9で修正された可能性があるが、公式発表を確認のこと)
■ 対応手順
1. 利用中のChromaDBのバージョンを確認し、最新版へアップデートしてください。
2. 可能であれば、本脆弱性の影響を受けないRust実装のサーバーへの切り替えを推奨します。
3. 暫定対応として、ChromaDBの接続ポートへのアクセスを信頼できるIPアドレスのみに制限してください。
■ 参考情報
- HiddenLayer 公開レポート
対応優先度: 高
対応期限: 速やかに
Subject: [Security Advisory] ChromaDB CVE-2026-45829 (RCE) Mitigation
Dear Team,
We are sharing information regarding a critical vulnerability in ChromaDB.
■ Overview
An RCE vulnerability (CVE-2026-45829) has been identified in the Python FastAPI server of ChromaDB. Due to a flaw where model loading occurs before authentication, an attacker can execute arbitrary code by specifying a malicious Hugging Face model.
■ Scope
- Affected Product: ChromaDB (Python FastAPI server implementation)
- Affected Versions: 1.0.0 through 1.5.8 (Check 1.5.9 for fixes)
■ Mitigation Steps
1. Update ChromaDB to the latest available version.
2. Consider migrating to the Rust server implementation, which is not affected by this issue.
3. Restrict access to the ChromaDB port via firewall to allow only trusted clients.
■ Reference
- HiddenLayer Research Report
Priority: High
Deadline: Immediate
Dear Team,
We are sharing information regarding a critical vulnerability in ChromaDB.
■ Overview
An RCE vulnerability (CVE-2026-45829) has been identified in the Python FastAPI server of ChromaDB. Due to a flaw where model loading occurs before authentication, an attacker can execute arbitrary code by specifying a malicious Hugging Face model.
■ Scope
- Affected Product: ChromaDB (Python FastAPI server implementation)
- Affected Versions: 1.0.0 through 1.5.8 (Check 1.5.9 for fixes)
■ Mitigation Steps
1. Update ChromaDB to the latest available version.
2. Consider migrating to the Rust server implementation, which is not affected by this issue.
3. Restrict access to the ChromaDB port via firewall to allow only trusted clients.
■ Reference
- HiddenLayer Research Report
Priority: High
Deadline: Immediate