NVIDIA NeMo Agent Toolkit: Fehlende Authentifizierung für kritische Funktion
Zusammenfassung
NVIDIA NeMo Agent Toolkit, ein Framework zum Erstellen und Betreiben von KI-Agenten, enthält eine Schwachstelle durch fehlende Authentifizierung (CWE-306). Ein entfernter Angreifer ohne Berechtigungen und ohne Benutzerinteraktion kann die verwundbare Funktion erreichen, die NVD mit CVSS 10.0 (kritisch) bewertet. Eine erfolgreiche Ausnutzung kann zu Codeausführung, Rechteausweitung, Datenmanipulation, Denial of Service oder Informationsoffenlegung führen. Die genaue betroffene Komponente und der betroffene Endpunkt sind öffentlich nicht spezifiziert.
Betroffen
- NVIDIA NeMo Agent Toolkit 1.0 bis 1.8.0
- Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)
Behoben in
- NVIDIA NeMo Agent Toolkit 1.9.0 (gemäss sekundären Quellen in NVIDIA-Bulletin 5912 als Behebung genannt; gegen die Herstellermeldung prüfen)
Umgehung
- Keine Workaround des Herstellers gefunden.
- Die Behebung ist das Upgrade auf 1.9.0. Vorgängig testen, da 1.9.0 inkompatible Änderungen enthält.
- Ein Downgrade auf 1.8.0 oder älter führt die Schwachstelle wieder ein.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden. Das Fehlen eines PoC schliesst eine private Ausnutzung nicht aus.
- Nicht im CISA-KEV-Katalog aufgeführt.
Unsere Empfehlung
- Alle NeMo-Agent-Toolkit-Instanzen inventarisieren, einschliesslich pip-installierter Pakete.
- Alle Instanzen im betroffenen Bereich 1.0 bis 1.8.0 nach Tests auf 1.9.0 aktualisieren.
- Prüfen, ob Agenten- oder Service-Endpunkte von ausserhalb des Netzwerks erreichbar sind, und den Zugriff bis zur Behebung einschränken.
- Aktualisierte Dienste auf unerwarteten Zugriff ohne Authentifizierung prüfen und auf verdächtige Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- NVIDIA Security Bulletin 5912 github.com
- NVD: CVE-2026-65145 nvd.nist.gov
- CVE Record: CVE-2026-65145 www.cve.org
- VulDB: CVE-2026-65145 vuldb.com
- OffSeq: CVE-2026-65145 radar.offseq.com
- NeMo Agent Toolkit releases github.com
- Strix: CVE-2026-65145 www.strix.ai
- AiCybr: CVE-2026-65145 patch and migration (secondary) aicybr.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.