ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي OpenHands Software Agent SDK قبل الإصدار 1.52.0 على ثغرة تنفيذ أوامر عن بُعد دون مصادقة حيث تقوم مشغلات بيئة عمل DockerWorkspace وApptainer بربط خادم وكيل بيئة الاختبار بكل واجهات الشبكة (0.0.0.0) مع قائمة session_api_keys فارغة، مما يغطل المصادقة افتراضياً. يمكن للمهاجمين الذين يمكنهم الوصول إلى منفذ الحاوية المنشور إرسال طلبات HTTP وWebSocket دون مصادقة لتنفيذ أوامر صدفة عشوائية بصلاحيات الجذر root في بيئة الاختبار، والوصول إلى بيئة العمل المثبتة، وقراءة الأسرار بنص صريح من مخزن الأسرار.
المعالجة
المراجع
- تصحيحhttps://github.com/OpenHands/software-agent-sdk/commit/7b66584ff8899144eb4ce679c2811861342af9de
- تحذيرhttps://www.vulncheck.com/advisories/openhands-software-agent-sdk-unauthenticated-sandbox-agent-server-rce
- مرجعhttps://github.com/OpenHands/software-agent-sdk/pull/5209
- مرجعhttps://github.com/OpenHands/software-agent-sdk/releases/tag/v1.52.0