Ultralytics YOLO: Path Traversal mit Codeausführung bei Google-Drive-Downloads
Zusammenfassung
Ultralytics YOLO, eine Python-Bibliothek für Bildverarbeitung, enthält eine Path-Traversal-Schwachstelle (CWE-22) bei der Verarbeitung von Google-Drive-Downloads. Die Software validiert einen benutzerdefinierten Pfad vor der Verwendung in Dateioperationen nicht korrekt. Ein entfernter Angreifer kann beliebigen Code im Kontext des aktuellen Prozesses ausführen, wenn ein Benutzer eine bösartige Seite besucht oder eine bösartige Datei öffnet.
Betroffen
- Ultralytics 8.4.103 (gemäss CNA-Eintrag)
- Andere Versionen: Unbekannt. Es gibt widersprüchliche Angaben (NixOS-Tracker nennt Builds 8.4.51 und 8.4.48).
Behoben in
Unbekannt. Der Hersteller hat noch keine korrigierte Version bestätigt.
Umgehung
- Interaktion mit nicht vertrauenswürdigen Inhalten einschränken, die Google-Drive-Downloads in Ultralytics auslösen (einzige von ZDI genannte Massnahme).
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB indexiert.
- VulDB stuft die Ausnutzung als einfach ein; diese Einschätzung ist nicht verifiziert.
- EPSS: 0.53 % (Perzentil 45).
Unsere Empfehlung
- Erfassen, wo das Paket ultralytics installiert ist (pip, Docker-Images, Nix-Builds).
- Nicht vertrauenswürdige Google-Drive-Links oder -Dateien in Ultralytics nicht verarbeiten, bis eine Korrektur verfügbar ist.
- Inferenzdienste mit minimalen Berechtigungen betreiben und, wenn möglich, ohne Zugriff auf sensitive Daten.
- Auf die vom Hersteller bestätigte korrigierte Version aktualisieren, sobald diese veröffentlicht ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- ZDI advisory ZDI-26-818 www.zerodayinitiative.com
- Strix CVE page CVE-2026-118619 www.strix.ai
- VulDB entry 428057 vuldb.com
- OffSeq CVE record radar.offseq.com
- OffSeq ZDI-26-818 record radar.offseq.com
- NixOS tracker issue 580865 github.com
- Ultralytics PR 26857 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:25.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.