PraisonAI AgentOS: Fehlende Authentifizierung erlaubt Aufruf von Agenten aus der Ferne
Zusammenfassung
Die AgentOS-FastAPI-Bereitstellung von PraisonAI registriert die Routen zur Agentenliste und zum Chat ohne jede Authentifizierung, und das Bearer-Token wird nicht geprüft. Ein entfernter Client, der den Dienst erreichen kann, kann bereitgestellte Agenten auflisten, deren Namen, Rollen und Anweisungsausschnitte lesen und Agenten aufrufen. Angreifer können dabei Werkzeuge, privaten Kontext, Speicher, API-Integrationen oder kostenpflichtige Modellaufrufe nutzen, die mit diesen Agenten verbunden sind. Der Standardhost ist 0.0.0.0, daher hängt die Exposition davon ab, ob der Dienst aus unvertrauenswürdigen Netzen erreichbar ist.
Betroffen
- PraisonAI (pip-Paket praisonai) ab 4.2.1 bis vor 4.6.59
- Das npm-Paket mit ähnlichem Namen (CVE-2026-57140) ist ein separates Problem und nicht Teil dieses Eintrags
Behoben in
- Auf PraisonAI 4.6.59 oder neuer aktualisieren (fixe Version gemäss CVE-Text; das Feld für gepatchte Versionen im GitHub-Advisory sollte vor dem Rollout geprüft werden)
Umgehung
- Kein Workaround vom Hersteller veröffentlicht.
- Den AgentOS-Dienst von nicht vertrauenswürdigen Netzen fernhalten, an localhost oder ein internes Interface binden und hinter einen authentifizierenden Reverse Proxy oder ein VPN stellen.
- Werkzeuge, Speicher und API-Zugangsdaten der Agenten prüfen und Ausgabelimiten bei Modell-APIs setzen.
Ausnutzung
- Zum Zeitpunkt der Erstellung ist keine Ausnutzung in freier Wildbahn bekannt.
- Das Advisory enthält einen lokalen Proof of Concept; es wurde kein öffentliches Exploit-Repository gefunden.
- Verwandte PraisonAI-Schwachstellen ohne Authentifizierung wurden laut Berichten kurz nach der Veröffentlichung ausgenutzt, daher sind exponierte Instanzen ein realistisches Ziel.
- CISA SSVC: Ausnutzungsstatus PoC, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Pip-Installationen von praisonai inventarisieren und Versionen ab 4.2.1 bis vor 4.6.59 identifizieren.
- Auf 4.6.59 oder neuer aktualisieren und die fixe Version im GitHub-Advisory verifizieren.
- Bis zur Aktualisierung den Netzwerkzugriff auf den AgentOS-Port (Standard 8000) einschränken und auf exponierte Routen /api/agents und /api/chat prüfen.
- Von Agenten erreichbare Werkzeuge und API-Schlüssel überprüfen und Logs auf nicht authentifizierte /api/chat-Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-892r-p3jq-jp24 github.com
- OSV GHSA-892r-p3jq-jp24 osv.dev
- Vulners OSV CVE-2026-57116 vulners.com
- Kodem CVE archive CVE-2026-57116 www.kodemsecurity.com
- Endor Labs CVE-2026-57116 www.endorlabs.com
- Strix CVE-2026-57116 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.