CAMEL TerminalToolkit: Befehlsausführung ohne Freigabe in shell_exec

Zusammenfassung

CAMEL (camel-ai), ein Python-Framework für KI-Agenten, enthält eine Schwachstelle in TerminalToolkit.shell_exec. Ein KI-Agent mit diesem Toolkit kann Shell-Befehle auf dem System ausführen, ohne dass eine Freigabe erfolgt; eine normale Benutzereingabe reicht dafür aus. Ein Angreifer, der die Eingaben des Agenten beeinflussen kann, etwa über nicht vertrauenswürdige Inhalte wie E-Mails, Webseiten oder Tickets, kann Befehle mit den Rechten des Agenten ausführen. Der CVSS-Score beträgt 9.8 (kritisch). Eine korrigierte Version ist noch nicht veröffentlicht.

Betroffen

• camel-ai CAMEL 0.2.91a1, 0.2.91a2 und 0.2.91a3 (gemäss CVE-Beschreibung)
• Nur Installationen, bei denen TerminalToolkit einem Agenten zur Verfügung steht, sind betroffen
• Berichte zu anderen CAMEL-Problemen nennen Versionen bis 0.2.91a5; dies ist nicht verifiziert

Behoben in

Unbekannt.

• Für diese CVE wurde weder eine Herstellerwarnung, ein korrigiertes Release noch ein Fix-Commit bestätigt.
• Gehen Sie nicht davon aus, dass 0.2.91a4 oder neuer sicher ist; prüfen Sie die Release Notes des Herstellers und das Issue #4038.

Umgehung

• shell_exec / TerminalToolkit aus Agenten entfernen, die nicht vertrauenswürdige Eingaben verarbeiten
• Für jeden Befehl eine ausdrückliche manuelle Freigabe verlangen
• Den Agenten in einem Container oder einer VM unter einem Nicht-Administrator-Konto ohne Zugriff auf Geheimnisse betreiben
• Agenten-Endpunkte für HTTP, MCP oder OpenAPI nicht ohne Authentifizierung exponieren
• Eingabevalidierung und Ausgabefilterung werden als Optionen genannt, sind jedoch gegen Prompt Injection schwach und sollten nicht allein verlassen werden

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzungsstatus 'poc', automatisierbar: ja, technische Auswirkung: total
• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; ein Aggregator führt die CVE nicht im CISA-KEV-Katalog
• Das Upstream-Issue enthält eine Reproduktion, bei der der Agent nach einer normalen Eingabe eine Datei im Arbeitsverzeichnis erstellte
• Die CWE wird von NVD als CWE-94 und von VulDB als CWE-78 angegeben; dies ist nach einer Aktualisierung von NVD zu bestätigen

Unsere Empfehlung

• Prüfen, ob camel-ai 0.2.91a1 bis 0.2.91a3 (und spätere 0.2.91a*-Builds) installiert ist und ob TerminalToolkit aktiviert ist
• shell_exec für alle Agenten deaktivieren, bis eine Korrektur des Herstellers bestätigt ist
• Manuelle Freigabe für Shell-Befehle verlangen und Dateisystem- sowie Netzwerkzugriff des Agenten einschränken
• Agenten-Logs und das Arbeitsverzeichnis auf unerwartete Befehle oder Dateien überwachen
• Das camel-ai-Issue #4038 und die Release Notes auf eine Korrektur verfolgen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-51858 gist (Ro1ME) gist.github.com
• camel-ai issue #4038 github.com
• VulDB CVE-2026-51858 vuldb.com
• Strix CVE-2026-51858 www.strix.ai
• CAMEL Terminal Toolkit documentation docs.camel-ai.org
• camel-ai issue #4347 github.com
• camel-ai issue #4348 github.com
• camel-ai issue #4351 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:46.