AgentScope: Code-Injection im Tool execute_shell_command
Zusammenfassung
AgentScope v1.0.20 enthält eine Code-Injection-Schwachstelle im integrierten Tool execute_shell_command. Vom Sprachmodell erzeugte Befehlszeichenfolgen werden ungeprüft an asyncio.create_subprocess_shell übergeben, daher kann ein Angreifer, der den Tool-Aufruf des Agenten beeinflusst, etwa über einen manipulierten Prompt oder prompt-injizierte Inhalte, beliebige Befehle mit den Rechten des Agenten-Prozesses ausführen. Die Ausnutzbarkeit hängt davon ab, ob das Tool im Agenten registriert ist und ob der Agent von aussen erreichbar ist oder unvertrauenswürdige Eingaben verarbeitet.
Betroffen
- AgentScope v1.0.20 (src/agentscope/tool/_coding/_shell.py)
- Andere Versionen: Unbekannt.
Behoben in
Unbekannt. Es wurde noch kein Herstellerfix bestätigt.
Umgehung
- Entfernen Sie execute_shell_command bei Agenten, die unvertrauenswürdige Eingaben verarbeiten.
- Betreiben Sie Agenten in einer isolierten Sandbox oder einem Container ohne Zugriff auf Secrets, interne Netzwerke oder Produktivsysteme.
- Verlangen Sie eine Authentifizierung für alle HTTP-, WebSocket- oder Socket.IO-Zugangspunkte, die zum Agenten führen.
- Überwachen Sie unerwartete Kindprozesse des Agenten-Dienstes.
Ausnutzung
- Die CISA-SSVC-Daten führen die Ausnutzung als "poc" (öffentlicher Proof of Concept) und automatisierbar: ja.
- Öffentliche Beschreibungen beschreiben Remote Code Execution über Prompt Injection; ein Aggregator meldet keinen öffentlichen PoC, was den SSVC-Daten widerspricht.
- Kein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Prüfen Sie, ob eine AgentScope-Installation Version 1.0.20 oder eine andere 1.0.x-Version mit registriertem execute_shell_command betreibt.
- Entfernen Sie das Shell-Tool oder isolieren Sie den Agenten sofort, wenn er aus dem Internet erreichbar ist oder externe Inhalte verarbeitet.
- Beschränken Sie das Betriebssystemkonto und den Netzwerkzugriff des Agenten.
- Überwachen Sie Logs und Prozessaktivitäten auf unerwartete Shell-Befehle.
- Beobachten Sie das Upstream-Issue auf einen Fix und aktualisieren Sie, sobald ein Fix verfügbar ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub issue #1645 github.com
- VulDB CVE-2026-51922 vuldb.com
- OpenCVE CVE-2026-51922 app.opencve.io
- AgentScope GitHub repository github.com
- Strix CVE-2026-51922 www.strix.ai
- EUVD-2026-91754 vulners.com
- TheHackerWire CVE-2026-51922 www.thehackerwire.com
- AgentScope v1.0.20 release notes newreleases.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.