CVE-2026-61539: Xinference erlaubt Codeausführung per präpariertem Chat-Prompt

Kurzfassung

Xinference enthält eine kritische Schwachstelle, über die ein entfernter Angreifer ohne Anmeldung Befehle im Kontext des Serverprozesses ausführen kann. Betroffen sind Version 2.5.0 und ältere Releases. Der Hersteller hat das Problem in 2.7.0 behoben.

Der Angriff läuft über speziell präparierte Prompts an die Chat-API. Wer Xinference produktiv betreibt, sollte die eigene Version jetzt prüfen und den Update-Pfad priorisieren.

Was ist passiert?

Die Schwachstelle sitzt in der Verarbeitung von Tool-Calls in Xinference. Inhalte, die das Modell erzeugt und die vorher durch einen Angreifer beeinflusst wurden, landen in einer Funktion zur Auswertung von Python-Ausdrücken. Genau dort kippt die Sache.

Ein Angreifer braucht dafür keinen Account. Ein passender Request an die Chat-Endpunkte reicht aus, sofern die Anwendung Tools akzeptiert und die Eingabe in den betroffenen Verarbeitungsweg läuft. Das macht die Lücke für exponierte Instanzen besonders gefährlich.

Technische Details

Auslöser ist die unsichere Behandlung von Llama3-Tool-Call-Ausgaben. Xinference reicht diese Daten durch mehrere Komponenten weiter, darunter die REST-API, die Modellverarbeitung und die Nachbearbeitung der Chat-Antwort. Am Ende steht eine Auswertung mit eval().

Das ist der eigentliche Fehler. Sobald ein Angreifer die modellgenerierte Zeichenkette beeinflusst, kann er im Serverkontext Code ausführen. Je nach Berechtigungen des Dienstes drohen Datenabfluss, Manipulation von Modellen, Nachladen weiterer Schadsoftware oder der Sprung in benachbarte Systeme.

Ein CVSS-Wert wurde in der Quelle nicht genannt. Auch ob zusätzliche Angriffsvoraussetzungen außerhalb des Netzwerks bestehen, lässt der Hersteller offen; die Beschreibung spricht klar von einem unauthentifizierten Remote-Angriff.

Wer ist betroffen?

Betroffen sind alle Installationen von Xinference bis einschließlich 2.5.0. Die Schwachstelle betrifft damit vor allem Betreiber, die das Framework für lokale oder interne KI-Workloads einsetzen und die Chat-API nach außen oder ins Firmennetz geöffnet haben.

Für Unternehmen im DACH-Raum ist das kein theoretisches Problem. Wer KI-Dienste als interne Plattform betreibt, hängt oft sensible Daten, API-Zugänge und Rechenressourcen daran. Eine Codeausführung auf dem Server kann dort schnell mehr anrichten als in einer Testumgebung.

Ob auch spätere 2.x-Zweige vor 2.7.0 betroffen sind, bleibt unklar; die Quelle nennt nur 2.5.0 und älter sowie den Fix in 2.7.0.

Empfohlene Maßnahmen

Erste Priorität hat das Update auf Xinference 2.7.0. Wer das zeitnah nicht ausrollen kann, sollte betroffene Instanzen bis dahin vom Netz trennen oder streng abschotten.

Praktisch heißt das:

Version prüfen und Upgrade auf 2.7.0 einplanen.
Die Chat-API nicht unnötig exponieren, besonders nicht ins Internet.
Netzwerkzugriffe auf bekannte Admin- und Service-Netze begrenzen.
Logs auf auffällige Requests mit Tools-Feld und ungewöhnlichen Prompt-Inhalten prüfen.
Den Dienst mit minimalen Rechten betreiben, falls ein Angreifer doch Code ausführt.

Wer Xinference nur in einer Laborumgebung nutzt, sollte trotzdem aktualisieren. Solche Schwachstellen landen oft später in produktiven Setups, wenn ein Proof of Concept die Runde macht.

Einschätzung von CyberSecurity-News.de

Die Lage ist ernst. Eine unauthentifizierte Codeausführung in einer KI-Inferenzplattform ist kein kleiner Bug, sondern ein direkter Weg in den Serverprozess. Dass der Angriff über einen Chat-Prompt läuft, macht die Sache eher schlimmer als harmloser.

Unschön bleibt die knappe Informationslage. Die Quelle nennt den betroffenen Zweig und die reparierte Version, aber keine belastbaren Details zu Ausnutzung in freier Wildbahn. Für Betreiber ändert das wenig: Wer Xinference einsetzt, sollte jetzt handeln statt auf weitere Bestätigung zu warten.

Fazit

CVE-2026-61539 ist für Betreiber von Xinference ein akutes Patch-Thema. Das Risiko liegt in fremdgesteuerter Codeausführung ohne Anmeldung. Version 2.7.0 schließt die Lücke, ältere Versionen bleiben angreifbar.

Für die meisten Leser ist das kein Massenproblem. Wer das Produkt aber im Produktivbetrieb nutzt, sollte die betroffenen Instanzen heute noch identifizieren und absichern.