CVE-2026-27952
Təsvir
Agenta açıq mənbəli LLMOps platformasıdır. Agenta-API-nin 0.48.1 versiyasından əvvəlki versiyalarında, Agenta-nın xüsusi kod qiymətləndiricisinə aid Python sandbox-dan çıxış zəifliyi mövcud idi. Agenta istifadəçi tərəfindən təmin edilən qiymətləndirmə kodu üçün sandbox mexanizmi kimi RestrictedPython-dan istifadə edirdi, lakin `numpy` paketini səhvən sandbox daxilində təhlükəsiz kimi ağ siyahıya əlavə etmişdi. Bu, autentifikasiya olunmuş istifadəçilərə sandbox-u yan keçməyə və API serverində ixtiyari kodun icrasını həyata keçirməyə imkan verirdi. Çıxış yolu `numpy.ma.core.inspect` vasitəsilə realizə olunurdu ki, bu da Python-un introspeksiya alətlərini — o cümlədən `sys.modules`-u — üzə çıxararaq `os.system` kimi filtrlənməmiş sistem səviyyəli funksionallığa giriş təmin edirdi. Bu zəiflik Agenta-nın özünə məxsus hostinqdə olan platformasına (API serveri) təsir edir, müstəqil Python kitabxanası kimi istifadə olunan SDK-ya təsir etmir. Xüsusi kod qiymətləndiricisi API prosesi daxilində server tərəfdə işləyir. Problem v0.48.1 versiyasında `numpy` paketinin sandbox ağ siyahısından çıxarılması ilə düzəldilmişdir. Sonrakı versiyalarda (v0.60+), RestrictedPython sandbox-u tamamilə silinib və fərqli icra modeli ilə əvəz edilib.
Necə düzəltmək olar
- agentatech agenta0.48.1 və ya daha yeni versiya
- agenta0.48.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| agentatech agenta | v < 0.48.1 | 0.48.1 |
| agentaPyPI | v < 0.48.1 | 0.48.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.