DB-GPT: Codeausführung auf dem Host durch stillen Fallback auf LocalRuntime

Zusammenfassung

In DB-GPT v0.8.0 kann der Sandbox-Dienst stillschweigend LocalRuntime verwenden, die übermittelten Code direkt auf dem Host statt in einem Container ausführt. Der Fallback greift, wenn keine Container-Laufzeitumgebung (Docker, Podman oder Nerdctl) verfügbar ist; die Standardeinstellung SANDBOX_RUNTIME=local wählt ihn ebenfalls. Ein Angreifer, der die HTTP-API der Sandbox erreichen kann oder den KI-Agenten über die Web-Oberfläche zur Erzeugung von Code bringt, kann beliebige Befehle mit den Rechten des DB-GPT-Prozesses ausführen. Sekundäre Berichte beschreiben, dass keine Authentifizierung nötig ist; dies hat der Hersteller nicht bestätigt.

Betroffen

• DB-GPT v0.8.0 (gemäss CVE-Beschreibung)
• Andere Versionen: Unbekannt.

Behoben in

Unbekannt. Der Hersteller hat keine korrigierte Version bestätigt.

Umgehung

• Sicherstellen, dass eine unterstützte Container-Laufzeitumgebung (Docker, Podman oder Nerdctl) verfügbar und explizit konfiguriert ist, damit Code in einem Container ausgeführt wird.
• Sich nicht auf die Standardeinstellung SANDBOX_RUNTIME verlassen; die tatsächlich verwendete Laufzeitumgebung auf jeder Instanz prüfen.
• Netzwerkzugriff auf DB-GPT und dessen Sandbox-API einschränken, zum Beispiel hinter einem VPN oder einer Authentifizierung.
• Host-Zugriff und ausgehende Verbindungen des DB-GPT-Dienstes einschränken.

Ausnutzung

• CISA SSVC: Exploitation 'poc', automatisierbar: ja, technische Auswirkung: total.
• Ein Proof-of-Concept wird in GitHub-Issue #3082 referenziert; andere Quellen geben an, dass kein öffentlicher Exploit-Code bestätigt wurde. Die Angaben widersprechen sich.
• Nicht im CISA-KEV-Katalog aufgeführt. Keine Ausnutzung in freier Wildbahn bekannt.

Unsere Empfehlung

• Prüfen, ob DB-GPT eingesetzt wird, welche Version installiert ist und ob der Dienst aus nicht vertrauenswürdigen Netzen erreichbar ist.
• Betroffene Instanzen isolieren, bis der Hersteller eine korrigierte Version bestätigt.
• Installationen von 0.8.0, die aus nicht vertrauenswürdigen Netzen erreichbar waren, als potenziell kompromittiert behandeln und Logs sowie Dateien auf dem Host prüfen.
• Nicht davon ausgehen, dass Version 0.8.2 korrigiert ist; Herstellerhinweise und Issue #3082 auf Updates prüfen.
• Hersteller und NVD auf eine Advisory überwachen und den Fix sofort einspielen, sobald er verfügbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-51869 research gist (Ro1ME) gist.github.com
• DB-GPT GitHub issue #3082 github.com
• VulDB: CVE-2026-51869 vuldb.com
• HOL Guard: CVE-2026-51869 (CISA ADP) hol.org
• DB-GPT pull request #3272 (sandbox change) github.com
• DB-GPT releases github.com
• DB-GPT GitHub issue #3321 github.com
• DB-GPT GitHub repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:43.