„`html
Zusammenfassung
Die Schwachstelle CVE-2026-15535 betrifft AkariAsai self-rag bis zur Commit-Version 1fcdc420e48f50a7d7ab1ece5494221b93252e99. Sie ermöglicht eine unsichere Deserialisierung in der Komponente retrieval_lm, wodurch ein Angreifer manipulierte Daten einschleusen kann. Mit einem CVSS-Wert von 6.3 wird die Sicherheitslücke als Mittel bewertet. Die Anfälligkeit ist öffentlich bekannt und Exploits sind verfügbar.
Betroffene Systeme
Betroffen sind Installationen von AkariAsai self-rag bis zur angegebenen Commit-Version. Da das Projekt auf Basis eines Rolling-Release-Modells arbeitet, gibt es keine klassischen Versionsnummern. Alle Systeme mit der verwundbaren Commit-Version sind gefährdet, unabhängig von der Plattform oder Betriebssystem.
Technische Details
Die Anfälligkeit liegt in der Funktion Indexer.deserialize_from der Datei retrieval_lm/src/index.py. Die Schwachstelle ermöglicht die Manipulation des Arguments index_meta.faiss, was zu einer unsicheren Deserialisierung führt. Angreifer können über das Netzwerk speziell präparierte Serialisierungsdaten übermitteln, um während des Deserialisierungsprozesses beliebigen Code auszuführen oder die Anwendungslogik zu kompromittieren.
Empfohlene Massnahmen
Sofortmassnahmen: Überprüfen Sie sofort, welche Commit-Version in Ihren Systemen läuft. Implementieren Sie Netzwerk-Segmentierung, um den Zugriff auf betroffene Komponenten einzuschränken. Validieren Sie alle eingehenden Serialisierungsdaten strikt.
Langfristige Lösungen: Warten Sie auf ein Sicherheits-Update des Entwickler-Teams. Überwachen Sie das Repository auf Patches. Erwägen Sie, zu einer neueren Commit-Version zu aktualisieren, sobald diese verfügbar ist. Implementieren Sie Eingangsvalidierung und setzen Sie Deserialisierungs-Filter ein.
Bewertung
Mit CVSS 6.3 und Netzwerk-Angriffsvektor stellt diese Schwachstelle ein moderates Risiko dar. Die öffentliche Verfügbarkeit von Exploits erhöht die Gefahr erheblich. Da kein offizieller Patch vorliegt und der Entwickler nicht reagiert hat, sollten Benutzer Gegenmaßnahmen priorisieren.
„`