NVIDIA NeMo Agent Toolkit: SQL-Injection
Zusammenfassung
NVIDIA NeMo Agent Toolkit in den Versionen 1.4 bis 1.6 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer kann Datenbankabfragen manipulieren, was zu Datenmanipulation, Denial of Service und Offenlegung von Informationen führen kann. Die NVD hat die Analyse noch nicht abgeschlossen; der CNA bewertet die Schwachstelle mit 8.4 (Hoch) und einem lokalen Angriffsvektor. Eine Drittquelle meldet jedoch mögliche Ausnutzung über das Netzwerk, daher sollte die Exposition bis zur Klärung durch NVIDIA als potenziell netzwerkerreichbar behandelt werden.
Betroffen
- NVIDIA NeMo Agent Toolkit 1.4 bis 1.6
- Andere Versionen sind gemäss CNA-Eintrag nicht betroffen.
Behoben in
Unbekannt. Die NVIDIA-Sicherheitsmitteilung 5912 ist für die korrigierte Version massgebend. Eine sekundäre Quelle nennt 1.7.0 als korrigierte Version. Eine Sicherheitsnachrichtenseite empfiehlt ein Upgrade auf 1.9.0, das auch CVE-2026-65145 in derselben Mitteilung abdeckt.
Umgehung
- Dem Hersteller ist für diese CVE keine Workaround-Massnahme bekannt.
- Netzwerkzugriff auf die Toolkit-Dienste bis zum Patch einschränken.
Ausnutzung
- Eine Ausnutzung ist nicht bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- VulDB meldet, dass kein öffentlicher Exploit verfügbar ist.
- EPSS: 0.18 %.
Unsere Empfehlung
- Alle Bereitstellungen des NeMo Agent Toolkit inventarisieren, einschliesslich Entwicklungs-, Test- und Hintergrundumgebungen.
- Versionen 1.4 bis 1.6 auf eine korrigierte Version aktualisieren und die genaue Version in der NVIDIA-Sicherheitsmitteilung 5912 bestätigen.
- Exposition der Agenten sowie deren Zugriff auf Datenbanken und interne Werkzeuge bis zum Patch einschränken.
- Protokolle auf ungewöhnliche Datenbankabfragen prüfen.
- Eine Drittquelle meldet, dass das Toolkit veraltet ist; eine Migration sollte geplant werden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- NVIDIA security bulletin 5912 github.com
- NVD: CVE-2026-65151 nvd.nist.gov
- CVE Record: CVE-2026-65151 www.cve.org
- VulDB: CVE-2026-65151 vuldb.com
- Strix: CVE-2026-65151 www.strix.ai
- OffSeq: CVE-2026-65151 threat report radar.offseq.com
- Aicybr: NeMo Agent Toolkit patch and migration aicybr.com
- SecurityOnline: NeMo Agent Toolkit vulnerabilities securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.