PraisonAI SandlockSandbox: Sandbox-Umgehung durch ungeschützten Subprozess-Fallback

Zusammenfassung

Der SandlockSandbox von PraisonAI, der untrusted Code isolieren soll, wechselt stillschweigend auf eine einfache Subprozess-Ausführung, wenn das optionale Modul sandlock meldet, dass Landlock nicht verfügbar ist. In diesem Fall werden die konfigurierte Dateisystem-Allowlist und die Einstellung network=False nicht durchgesetzt. Im Sandbox-Code laufender Code kann Dateien ausserhalb des erlaubten Pfads lesen und Netzwerkverbindungen öffnen. Voraussetzung ist, dass Code innerhalb der Sandbox ausgeführt wird, zum Beispiel über einen Agenten, der untrusted Eingaben verarbeitet.

Betroffen

• PraisonAI >= 4.5.110, < 4.6.61 (NVD)
• Der GitHub-Advisory GHSA-6jcq-6546-qrrw nennt >= 4.5.110, <= 4.6.58
• Betroffen nur, wenn das Modul sandlock installiert ist und Landlock nicht verfügbar ist

Behoben in

• Behoben in PraisonAI 4.6.61

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Bis zur Behebung SandlockSandbox nicht für untrusted Code verwenden.
• Prüfen, ob sandlock auf Ihren Hosts Landlock als nutzbar meldet; falls nicht, die Sandbox als nicht durchgesetzt betrachten.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt.
• Im Hersteller-Advisory wird ein öffentlicher Proof of Concept erwähnt.
• CISA SSVC: Ausnutzung poc, nicht automatisierbar, totale technische Auswirkung.
• EPSS 0.00207.

Unsere Empfehlung

• Installierte Version mit pip show praisonai prüfen.
• Auf PraisonAI 4.6.61 oder neuer aktualisieren; die neueste Version in Betracht ziehen.
• Bis zur Behebung keinen untrusted Code über SandlockSandbox ausführen.
• Zugriff der Hosts mit Agenten auf Zugangsdaten und sensible Dateien einschränken.
• Hosts priorisieren, auf denen Agenten externe Inhalte verarbeiten oder Zugangsdaten halten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6jcq-6546-qrrw github.com
• NVD mirror on vulners.com: CVE-2026-57144 vulners.com
• Strix CVE page: CVE-2026-57144 www.strix.ai
• OSV: GHSA-6jcq-6546-qrrw osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:46.