CVE-2026-15746

Strands Agents, yapay zeka ajanları oluşturmak ve çalıştırmak için kullanılan açık kaynaklı bir Python SDK'sıdır. strands-agents-tools paketi, ajan bellek depolaması için elasticsearch_memory aracı da dahil olmak üzere SDK ile kullanılmak üzere önceden oluşturulmuş araçlar sağlar. elasticsearch_memory aracında bir sunucu taraflı istek sahteciliği (SSRF) sorunu olan CVE-2026-15746 tespit edilmiştir. Araç; bağlantı parametrelerini (es_url, cloud_id, api_key), büyük dil modelinin (LLM) araç şeması üzerinden kontrol edebileceği alanlar olarak açığa çıkarmıştır. Bir çağrıcı api_key parametresini atladığında, araç operatörün ELASTICSEARCH_API_KEY ortam değişkenine geri dönmüş ve bunu LLM tarafından belirtilen herhangi bir ana bilgisayara göndermiştir. Hazırlanmış bir istem, aracın tehdit aktörü kontrollü bir sunucuya bağlanmasına ve operatörün Elasticsearch API anahtarının Authorization başlığında ifşa edilmesine neden olabilir. strands-agents-tools sürümünü 0.7.0 veya daha yeni bir sürüme yükseltmeniz önerilir. Önleyici bir tedbir olarak, kimlik bilgilerinin ifşa edildiğine dair bir gösterge olmasa bile tüm operatörlerin ELASTICSEARCH_API_KEY değerlerini yenilemeleri önerilir.