CVE-2026-112346
Açıklama
1.52.0 öncesindeki OpenHands Software Agent SDK, DockerWorkspace ve Apptainer çalışma alanı başlatıcılarının sandbox ajan sunucusunu boş bir session_api_keys listesiyle tüm ağ arayüzlerine (0.0.0.0) bağlamasıyla kimlik doğrulamayı varsayılan olarak devre dışı bıraktığı, kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma zafiyeti içermektedir. Yayınlanan konteyner portuna erişebilen saldırganlar; sandbox içinde root olarak rastgele kabuk komutları yürütmek, bağlı çalışma alanına erişmek ve sır deposundaki düz metin sırlarını okumak için kimlik doğrulanmamış HTTP ve WebSocket istekleri gönderebilirler.
Nasıl düzeltilir
- OpenHands OpenHands Software Agent SDK1.52.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| OpenHands OpenHands Software Agent SDK | v < 1.52.0 | 1.52.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.