Rembg: Path Traversal und Offenlegung lokaler Dateien über sam_model

Zusammenfassung

Rembg, ein Python-Werkzeug zum Entfernen von Bildhintergründen, übergibt den über den öffentlichen Endpunkt /api/remove steuerbaren Wert sam_model ohne Validierung und ohne fixierten Hash an SAM-Dateinamen und GitHub-Download-URLs. Ein nicht authentifizierter Angreifer kann mit Path Traversal in Kombination mit URL-Fragment-Syntax bösartige ONNX-Dateien neben einer lesbaren Zieldatei ablegen. Die manipulierten ONNX-Graphen können vollständige Dateien lesen, die dem rembg-Prozess zugänglich sind, und diese in die zurückgegebene PNG-Maske kodieren; zudem erlauben sie beliebige ONNX-Berechnungen. Das Risiko ist am höchsten, wenn der HTTP-Server von rembg (rembg s) aus nicht vertrauenswürdigen Netzen erreichbar ist.

Betroffen

• rembg-Versionen vor 2.0.82
• Laut VulDB bis einschliesslich 2.0.81

Behoben in

• Behoben in rembg 2.0.82 (Commit b2758c6b39bb2b02df90a03128110339476984d3)
• Die Korrektur erlaubt nur veröffentlichte SAM-Checkpoint-Namen und prüft Downloads gegen die Upstream-Prüfsummen

Umgehung

• Dem Hersteller ist kein Workaround bekannt.
• Den Zugriff auf den HTTP-Endpunkt rembg s auf vertrauenswürdige Clients beschränken oder den Endpunkt vom Netzwerk trennen (nicht vom Hersteller verifiziert).
• Ausgehenden Zugriff des Hosts auf GitHub nach Möglichkeit blockieren (nicht vom Hersteller verifiziert).
• Dateiberechtigungen des Dienstkontos, unter dem rembg läuft, überprüfen.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: teilweise.
• Ein Ausnutzen in freier Wildbahn ist nicht bekannt.
• Die GHSA-Seite enthält Reproduktionsscreenshots; ein eigenständiger öffentlicher Exploit-Code wurde nicht gefunden.

Unsere Empfehlung

• Alle rembg-Installationen inventarisieren, einschliesslich Container, Lock-Dateien und Requirements-Dateien, und Versionen unter 2.0.82 identifizieren.
• Auf rembg 2.0.82 oder neuer aktualisieren.
• Bis zur Aktualisierung den Netzwerkzugriff auf den Endpunkt rembg s einschränken und die vom Dienstkonto lesbaren Dateien begrenzen.
• Die GHSA- und NVD-Einträge auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-qr6x-7v33-6qmg github.com
• rembg release v2.0.82 github.com
• Fix commit b2758c6 github.com
• OSV entry GHSA-qr6x-7v33-6qmg osv.dev
• GitLab Advisory Database entry CVE-2026-115924 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:05.