Heym: Sandbox-Ausbruch in Agent-Python-Tool ermöglicht Befehlsausführung

Zusammenfassung

Heym, eine selbst gehostete Plattform für agentische Systeme und Workflow-Automatisierung, enthält einen Sandbox-Ausbruch in seinen benutzerdefinierten Python-Tools. Ein authentifizierter Benutzer, der einen Workflow mit einem Agent-Python-Tool erstellen oder bearbeiten kann, kann die auf einer Blacklist basierende Sandbox umgehen und Befehle sowie Dateioperationen als Benutzer der Backend-Anwendung ausführen. Die Selbstregistrierung beeinflusst die Erreichbarkeit, doch ein Benutzer, der nur ein Portal auslöst, erhält dadurch keine Codekontrolle.

Betroffen

• Heym bis und mit 0.0.39 (laut Advisory betroffen sind Versionen unterhalb von 0.0.40)

Behoben in

• Heym 0.0.40 oder neuer

Umgehung

• Vom Hersteller wurde kein offizieller Workaround veröffentlicht. Das Upgrade auf 0.0.40 ist die Behebung.
• Übergangsmassnahme (Empfehlung, nicht vom Hersteller): Einschränken, wer Workflows mit benutzerdefinierten Python-Tools erstellen oder bearbeiten darf, und nicht vertrauenswürdige Editor-Konten entfernen.

Ausnutzung

• CISA SSVC: Exploitation "poc", Automatable "no", Technical Impact "total".
• Der Melder hat während der Offenlegung privat einen Proof of Concept bereitgestellt; es wurde keine öffentliche PoC- oder Exploit-Veröffentlichung gefunden.
• Keine Hinweise auf Ausnutzung in freier Wildbahn; in den geprüften Quellen nicht als bekannt ausgenutzt gelistet.

Unsere Empfehlung

• Alle Heym-Instanzen inventarisieren und auf Versionen unterhalb von 0.0.40 prüfen.
• Auf Heym 0.0.40 oder neuer aktualisieren.
• Bis zum Update die Rechte zum Erstellen und Bearbeiten von Workflows einschränken und bestehende Workflows auf unerwartete Python-Tools prüfen.
• Prüfen, ob Instanzen aus dem Internet erreichbar sind und ob Selbstregistrierung aktiviert ist; aus dem Internet erreichbare Instanzen priorisieren.
• Backend-Logs und Host-Aktivitäten auf unerwartete Child-Prozesse oder Dateiänderungen überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-wcgw-9hfw-f6f2 github.com
• Heym release v0.0.40 github.com
• Fix commit b36d795 github.com
• VulDB entry 417753 vuldb.com
• OSV entry CVE-2026-55376 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:07.