Ultralytics: Code-Injection in parse_model führt zu Remote Code Execution

Zusammenfassung

Die Python-Bibliothek Ultralytics, die für YOLO-Modelle der Bildverarbeitung verwendet wird, enthält in der Funktion parse_model eine Code-Injection-Schwachstelle. Die Funktion führt eine vom Benutzer gelieferte Zeichenkette als Python-Code aus, ohne sie ausreichend zu prüfen. Ein Angreifer kann beliebigen Code mit den Rechten des Benutzers ausführen, wenn dieser eine manipulierte Modelldatei öffnet oder eine manipulierte Seite besucht. Der CVSS-Vektor bewertet die Schwachstelle als lokal, die Beschreibung spricht jedoch von entfernten Angreifern, weshalb von der gravierenderen Lesart ausgegangen werden sollte.

Betroffen

• Ultralytics 8.4.65 (gemäss CVE-Eintrag und VulDB)
• Andere Versionen: Unbekannt.

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurden weder eine Herstellerwarnung noch eine korrigierte Version gefunden.

Umgehung

• Laut ZDI-Warnung ist die einzige wirksame Massnahme, die Interaktion mit dem Produkt einzuschränken.
• Modelldateien, Konfigurationen oder andere Eingaben aus nicht vertrauenswürdigen Quellen nicht laden.
• Ultralytics in einer isolierten Umgebung betreiben (separate VM oder Container, ohne Zugriff auf Zugangsdaten oder sensible Daten).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
• Zum Zeitpunkt der Recherche ist kein öffentlicher Exploit-Code indexiert.
• EPSS: 0.22 % (Perzentil 13).

Unsere Empfehlung

• Python-Umgebungen auf das Paket ultralytics prüfen (z. B. mit pip show ultralytics) und die Versionen dokumentieren.
• Systeme identifizieren, die extern bezogene Modelle oder Konfigurationen laden, und diese einschränken, bis eine Korrektur verfügbar ist.
• Modelldateien im PyTorch-Format aus nicht vertrauenswürdigen Quellen als potenziell unsicheren Code behandeln.
• Die GitHub-Releases von Ultralytics, die ZDI-Warnung und den NVD-Eintrag auf eine Korrektur überwachen.
• Nicht davon ausgehen, dass eine andere Ultralytics-Warnung diese Schwachstelle behebt.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• ZDI advisory ZDI-26-817 www.zerodayinitiative.com
• Strix CVE record CVE-2026-118618 www.strix.ai
• VulDB entry 428056 vuldb.com
• OffSeq exploitation and KEV status radar.offseq.com
• Threat research summary threatresearch.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:50.