CAMEL CodeExecutionToolkit: Codeausführung ohne Genehmigungsschranke

Zusammenfassung

CVE-2026-51857 betrifft die camel-ai-Versionen 0.2.91a1 bis 0.2.91a3. Das CodeExecutionToolkit übergibt vom Modell erzeugten Python-Code an SubprocessInterpreter, der ihn lokal in einem Subprozess ausführt, ohne explizite Bestätigung oder Richtlinienprüfung. Ein Angreifer, der die Eingaben des Modells beeinflussen kann, zum Beispiel über Inhalte, die der Agent verarbeitet, kann beliebigen Python-Code mit den Rechten des Host-Prozesses ausführen lassen. Der CVSS-Wert von 9.8 ist kritisch, und CISA SSVC stuft die Ausnutzung als PoC und automatisierbar ein.

Betroffen

• camel-ai 0.2.91a1
• camel-ai 0.2.91a2
• camel-ai 0.2.91a3
• Relevant, wenn das CodeExecutionToolkit mit sandbox="subprocess" verwendet wird

Behoben in

Unbekannt.

Umgehung

• Menschliche Bestätigung für die Codeausführung aktiviert lassen und das Toolkit nicht untrusted Eingaben aussetzen
• sandbox="subprocess" auf Produktivsystemen nicht verwenden
• Den Agenten in einem Container oder einer VM mit eingeschränktem Dateisystem- und Netzwerkzugriff betreiben
• Die Betriebssystemrechte des Kontos, unter dem der Agent läuft, einschränken

Ausnutzung

• Proof of Concept: Das öffentliche Issue #4037 beschreibt eine Reproduktion, bei der eine normale Benutzereingabe dazu führt, dass execute_code Code auf dem Host ausführt
• CISA SSVC: Ausnutzung PoC, Automatisierbar ja, technische Auswirkung total
• Ausnutzung in freier Wildbahn: Unbekannt.

Unsere Empfehlung

• Alle camel-ai-Installationen inventarisieren und auf die Versionen 0.2.91a1 bis 0.2.91a3 prüfen
• CodeExecutionToolkit beziehungsweise die Subprozess-Sandbox deaktivieren, bis eine korrigierte Version bestätigt ist
• Sobald der Hersteller eine korrigierte Version veröffentlicht, auf diese aktualisieren und die Version anschliessend prüfen
• Netzwerkzugriff einschränken und den Host auf unerwartete Prozesse oder Dateierstellungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-51857 gist (Ro1ME) gist.github.com
• camel-ai/camel issue #4037 github.com
• VulDB CVE-2026-51857 vuldb.com
• SubprocessInterpreter documentation docs.camel-ai.org
• camel-ai/camel issue #4350 github.com
• CVE Brief archive 2026/10/04 cvebrief.com
• TheHackerWire CVE-2026-51857 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:45.