EvoScientist: Umgehung der Genehmigung über asynchrone Sub-Agents ermöglicht Befehlsausführung auf dem Host

Zusammenfassung

EvoScientist-Versionen 0.1.0 bis vor 0.2.5 enthalten eine Umgehung der Genehmigung in asynchronen Sub-Agents, die die Human-in-the-Loop-Genehmigung nicht durchsetzen. Ein Angreifer kann Anweisungen in Inhalten platzieren, die der Agent einliest, etwa in abgerufenen Webseiten oder Nachrichten aus Chat-Kanälen, und so bewirken, dass der Agent Shell-Befehle auf dem Host mit den Rechten des ausführenden Benutzers ausführt. Die Befehle können auf Umgebungsgeheimnisse wie API-Schlüssel und Cloud-Zugangsdaten zugreifen. Laut CVE-Eintrag ist keine Authentifizierung nötig; die Release Notes des Herstellers nennen Version 0.2.5 als Korrektur.

Betroffen

• EvoScientist 0.1.0 bis vor 0.2.5
• Standardkonfiguration: nicht betroffen (laut CVE-Eintrag)
• VulDB beschreibt den Bereich als bis 0.2.4

Behoben in

• Version 0.2.5 (Human-in-the-Loop-Genehmigung gilt nun für synchrone und asynchrone Sub-Agents)

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme; ein Update wird empfohlen.
• Übergangsmassnahmen laut einer Drittanalyse: Auto-Approve deaktivieren und die Codeausführung in einer Sandbox betreiben, bis das Update eingespielt ist.
• Der Betrieb des Agenten in einem Container kann den Shell-Zugriff einschränken; dies wurde für diese Schwachstelle nicht verifiziert.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn gefunden; CISA SSVC führt die Ausnutzung als PoC und die Automatisierbarkeit als ja.
• Lasso hat eine öffentliche technische Analyse veröffentlicht; die Reproduktion verwendete einen harmlosen Befehl.
• Zum Zeitpunkt der Recherche nicht im CISA KEV gelistet.

Unsere Empfehlung

• Alle EvoScientist-Installationen inventarisieren, einschliesslich Test- und Forschungssystemen.
• Auf Version 0.2.5 oder neuer aktualisieren.
• Bis zum Update Auto-Approve deaktivieren, den Agenten in einem Container betreiben und den Zugriff auf Chat-Kanäle einschränken.
• API-Schlüssel und Geheimnisse rotieren, die auf betroffenen Systemen vorhanden waren.
• NVD auf Neubewertung überwachen, da die Schweregrade zwischen den Quellen abweichen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (VulnCheck advisory) www.vulncheck.com
• EvoScientist release v0.2.5 github.com
• Fix commit d249e320 github.com
• Lasso vulnerability analysis www.lasso.security
• Vulnerable code (_factory.py) github.com
• OSV entry osv.dev
• GitHub issue #387 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:11.