Agent Zero: Directory Traversal über Host-Root-Workspace im Dateibrowser
Zusammenfassung
Agent Zero in den Versionen 1.7 bis 1.10 initialisiert den Dateibrowser mit dem Host-Root-Verzeichnis als Workspace. Ein Angreifer, der den KI-Agenten beeinflussen kann, etwa über einen manipulierten Prompt, kann beliebige Dateien des Systems lesen, zum Beispiel Zugangsdaten oder SSH-Schlüssel, soweit die Berechtigungen des Agent-Zero-Prozesses dies erlauben. Laut den Reproduktionshinweisen sind die betroffenen Web-UI-Endpunkte ohne Authentifizierung erreichbar, was das Risiko erhöht, wenn die Oberfläche netzwerkseitig erreichbar ist.
Betroffen
- Agent Zero 1.7
- Agent Zero 1.8
- Agent Zero 1.9
- Agent Zero 1.10
- Komponente: python/helpers/file_browser.py, FileBrowser.__init__
Behoben in
Unbekannt. Es wurde keine Herstellermitteilung oder Versionshinweis zu einer Korrektur dieser CVE gefunden.
Umgehung
- Kein vom Hersteller dokumentierter Workaround gefunden.
- Die Web-Oberfläche von Agent Zero nicht aus dem Internet erreichbar machen; Zugriff auf VPN, Localhost oder interne Netze beschränken und eine Authentifizierung vorschalten.
- Agent Zero in einem Container oder einer VM ohne Einbindung sensitiver Host-Pfade betreiben.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: ja, technische Auswirkung: partiell.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht in KEV gelistet.
- Issue #1539 beschreibt Prompts, die den Agenten zum Lesen von /etc/shadow und SSH-Schlüsseln auffordern.
Unsere Empfehlung
- Prüfen, ob Agent Zero 1.7 bis 1.10 im Einsatz ist, auch auf Test- und Entwicklungsinstanzen.
- Netzwerkzugriff auf die Web-Oberfläche einschränken und eine Authentifizierung einrichten.
- Auf die aktuelle Upstream-Version aktualisieren und die Korrektur im Issue #1539 prüfen, bevor darauf vertraut wird.
- Einbindungen sensitiver Host-Pfade entfernen und Datei- und Zugangsdatenzugriff des Agenten einschränken.
- Agent-Logs auf Dateizugriffe ausserhalb des Projektordners prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-51853 gist (third-party, unreviewed) gist.github.com
- agent0ai/agent-zero issue #1539 github.com
- Vulners VulnRichment CVE-2026-51853 vulners.com
- Strix CVE-2026-51853 www.strix.ai
- agent-zero releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 23:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.