CognicellAI Cognition: Unauthentifizierte Remote Code Execution über lokales Shell-Backend

Zusammenfassung

Cognition, ein selbst gehosteter AI-Agent-Server auf Basis des Deep-Agents-Frameworks von LangChain, stellt seine REST/SSE-API ohne Authentifizierung bereit. In der Standardkonfiguration läuft der Agent über ein lokales Shell-Backend, sodass ein nicht authentifizierter Angreifer, der den Server erreichen kann, durch das Erstellen einer Session und das Senden einer Nachricht beliebige Shell-Befehle als Serverprozess ausführen lassen kann. Es sind weder Zugangsdaten noch eine Benutzerinteraktion nötig, und das Backend reicht Zugangsdaten wie GH_TOKEN an ausgeführte Befehle weiter.

Betroffen

• CognicellAI Cognition Versionen vor 0.13.0
• Standardkonfiguration (lokales Sandbox-Backend, keine Authentifizierung)

Behoben in

• Version 0.13.0 und neuer

Umgehung

• COGNITION_ALLOW_UNSAFE_LOCAL_EXECUTION=true ausserhalb isolierter Entwicklungsumgebungen nicht setzen; die Einstellung ist in 0.13.0 standardmässig auf false gesetzt
• Die Cognition-API hinter einem authentifizierenden Gateway oder Reverse Proxy betreiben und Port 8000 nicht direkt exponieren
• Für das Execute-Werkzeug (Shell) eine manuelle Freigabe verlangen oder es blockieren, wenn Agenten nicht vertrauenswürdige Eingaben verarbeiten

Ausnutzung

• CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: nein, technische Auswirkung: total
• Ein Proof-of-Concept-Skript wird im Lasso-Advisory referenziert; nicht unabhängig verifiziert
• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden; laut letztem Stand nicht im CISA-KEV-Katalog aufgeführt

Unsere Empfehlung

• Prüfen, ob Cognition in der Umgebung eingesetzt wird, einschliesslich Test- und Entwicklungssystemen
• Auf Cognition 0.13.0 oder neuer aktualisieren
• Bis zum Update exponierte Instanzen vom Netz nehmen oder hinter eine Authentifizierung stellen
• COGNITION_ALLOW_UNSAFE_LOCAL_EXECUTION=true aus Deployments entfernen, die auf der Docker-Compose-Schnellstartanleitung basieren
• Logs auf unerwartete POST-/sessions-Anfragen und auf Shell-Befehlsaktivität des Serverprozesses überwachen
• Instanzen mit Internetzugang oder aus nicht vertrauenswürdigen Netzen als dringend behandeln

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Cognition v0.13.0 release (GitHub) github.com
• Lasso Security vulnerability database entry www.lasso.security
• VulnCheck advisory: Cognition unauthenticated RCE via local shell backend www.vulncheck.com
• HOL Guard CVE entry hol.org
• OpenCVE CVE entry app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:16.