AgentScope: Remote Code Execution über RealtimeAgent-Toolaufrufe
Zusammenfassung
In AgentScope 1.0.18 und 1.0.19 erlaubt eine RealtimeAgent-Session, die das Tool execute_python_code bereitstellt, einem entfernten WebSocket-Benutzer, den Agenten zur Ausführung von Python-Code auf dem Service-Host zu veranlassen. Der Toolaufruf wird ohne Genehmigung, Sandbox oder andere Isolationsmassnahme weitergeleitet. Ein Angreifer kann danach mit den Berechtigungen des AgentScope-Dienstes handeln, einschliesslich Zugriff auf dessen Daten, Zugangsdaten und Netzwerk. Voraussetzung ist, dass das Tool in der Session verfügbar ist und der WebSocket-Endpunkt erreichbar ist; ob der Endpunkt eine Authentifizierung verlangt, ist nicht dokumentiert.
Betroffen
- AgentScope 1.0.18
- AgentScope 1.0.19
- Bedingung: RealtimeAgent-Session mit execute_python_code als verfügbarem Tool
- Der NVD-Text lautet "1.0.18, 1.0.19, and 1.0.19"; der Bereich wird als 1.0.18 und 1.0.19 angenommen.
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version bestätigt.
Umgehung
- Entfernen Sie execute_python_code aus allen RealtimeAgent-Sessions, die über WebSocket erreichbar sind.
- Nehmen Sie den WebSocket-Endpunkt für Echtzeitverbindungen vom Netz, bis das Tool entfernt ist.
- Setzen Sie den Endpunkt hinter eine Authentifizierung und einen Reverse Proxy, und beschränken Sie den Zugriff.
- Betreiben Sie den Dienst mit minimalen Betriebssystem-Berechtigungen und ohne Zugriff auf Geheimnisse.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation-Status "poc", automatisierbar: ja, technische Auswirkung: total.
- Das öffentliche Gist des Forschers enthält Reproduktionsschritte.
- Es liegen keine Hinweise auf Ausnutzung in freier Wildbahn vor; ein Eintrag im KEV-Katalog konnte nicht verifiziert werden.
Unsere Empfehlung
- Erfassen Sie AgentScope-Installationen der Versionen 1.0.18 und 1.0.19 und prüfen Sie, ob RealtimeAgent verwendet wird.
- Entfernen Sie execute_python_code umgehend aus Echtzeit-Sessions oder deaktivieren Sie den Endpunkt.
- Beschränken und authentifizieren Sie den Zugriff auf den WebSocket-Endpunkt; setzen Sie ihn nicht ungeschützt dem Internet aus.
- Prüfen Sie die Dienst-Logs auf unerwartete Toolaufrufe und vom Dienst erstellte Dateien.
- Verfolgen Sie das GitHub-Issue und die Herstellerveröffentlichungen für eine korrigierte Version und bestätigen Sie diese anhand der Herstellerwarnung, bevor Sie sie einsetzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE-2026-51856 researcher gist gist.github.com
- AgentScope GitHub issue #1563 github.com
- VulDB entry CVE-2026-51856 vuldb.com
- VulnRichment record CVE-2026-51856 vulners.com
- AgentScope releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.