OpenHands Software Agent SDK: Unauthentifizierte Remote Code Execution in Sandbox

Zusammenfassung

Das OpenHands Software Agent SDK vor Version 1.52.0 enthält eine Umgehung der Authentifizierung in den Workspace-Startern für DockerWorkspace und Apptainer. Der Sandbox-Agent-Server bindet an alle Netzwerkschnittstellen, ohne dass ein Session-API-Schlüssel gesetzt ist, und die Authentifizierung ist standardmässig deaktiviert. Ein Angreifer, der den veröffentlichten Container-Port erreichen kann, kann unauthentifizierte HTTP- und WebSocket-Anfragen senden, beliebige Shell-Befehle als Root in der Sandbox ausführen, auf den eingebundenen Workspace zugreifen und Klartext-Geheimnisse lesen.

Betroffen

• OpenHands Software Agent SDK ab 0 bis vor 1.52.0
• Installationen, die DockerWorkspace oder Apptainer-Workspace-Starter verwenden

Behoben in

• Auf OpenHands Software Agent SDK 1.52.0 oder neuer aktualisieren
• Der Fix veröffentlicht Docker-Ports nur auf dem Loopback (PR #5209). Der Apptainer-Fix ist nicht verifiziert.

Umgehung

• Den Port des Agent-Servers nicht auf allen Schnittstellen veröffentlichen; veröffentlichte Ports an 127.0.0.1 binden
• Für den Agent-Server einen nicht leeren Session-API-Schlüssel setzen und zur Laufzeit prüfen, dass er wirksam ist
• Den Zugriff auf den Container-Port mit Firewall-Regeln einschränken
• Container-Logs auf Anfragen prüfen, die nicht zu den eigenen Agenten-Sitzungen gehören

Ausnutzung

• Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Ein öffentlicher Proof of Concept ist nicht bestätigt; ein Aggregator meldet keinen KEV-Eintrag, was erneut geprüft werden muss.
• Die Ausnutzung erfordert keine Authentifizierung und Netzwerkerreichbarkeit des veröffentlichten Container-Ports.

Unsere Empfehlung

• Prüfen, ob auf Systemen DockerWorkspace- oder Apptainer-Workspace-Starter mit erreichbaren Container-Ports laufen.
• Auf 1.52.0 oder neuer aktualisieren und den Apptainer-Fix separat verifizieren, bevor man sich darauf verlässt.
• Einen Session-API-Schlüssel setzen und prüfen; den Zugriff auf den Agent-Server einschränken.
• Falls eine Sandbox exponiert war, alle Geheimnisse rotieren, die dort lesbar gewesen sein könnten.
• Container-Logs auf unerwartete HTTP- oder WebSocket-Anfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Fix commit 7b66584 github.com
• Pull request #5209 github.com
• Release v1.52.0 github.com
• OpenCVE CVE-2026-112346 app.opencve.io
• Ostorlab analysis blog.ostorlab.co

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:41.