Coze Studio: Remote Code Execution über Python-Code-Runner ohne Sandbox

Zusammenfassung

Coze Studio vor 0.5.0 führt Code-Knoten in Workflows als Python auf dem Server aus, und zwar standardmässig mit einem lokalen Runner ohne Sandbox. Jeder registrierte Benutzer kann durch Umgehung des schlüsselwortbasierten Import-Filters Betriebssystembefehle ausführen. Ein Angreifer könnte Umgebungsvariablen, Modell-API-Schlüssel und Daten aus co-lokalisierten MySQL-, MinIO-, Redis- und etcd-Diensten mit Standardzugangsdaten auslesen.

Betroffen

• coze-dev Coze Studio, alle Versionen vor 0.5.0 (CVE-Eintrag)
• VulDB gibt den betroffenen Bereich mit bis 0.4.x an
• Deployments, die mit den Standard-Targets make oder make debug gestartet wurden und dadurch CODE_RUNNER_TYPE=local setzen

Behoben in

• Auf 0.5.0 oder neuer aktualisieren. Der CVE-Eintrag verweist auf den Fix-Commit fcf40d1, der den Standardwert von CODE_RUNNER_TYPE von local auf sandbox ändert. Der Inhalt des Commits konnte nicht verifiziert werden.
• Widerspruch: Eine Drittquelle berichtet, dass das neueste veröffentlichte Image 0.5.1 war und der Sandbox-Standard in keinem Release enthalten war. Nicht davon ausgehen, dass der Fix aktiv ist; die Einstellung nach dem Update prüfen.

Umgehung

• CODE_RUNNER_TYPE=sandbox explizit setzen und local nie verwenden.
• Öffentliche Registrierung schliessen und begrenzen, wer Konten erstellen kann.
• Standardzugangsdaten von MySQL, Redis, MinIO und etcd ändern und deren Ports nicht exponieren.
• Den Coze-Host im Netzwerk von den Datenspeichern isolieren.

Ausnutzung

• CISA SSVC stuft die Ausnutzung als 'poc' (ein Proof of Concept ist bekannt) und die Automatisierbarkeit als 'no' ein.
• Es wurden keine Hinweise auf aktive Ausnutzung in freier Wildbahn gefunden.
• Öffentlicher Proof-of-Concept-Code konnte nicht bestätigt werden; die Quellen widersprechen sich.

Unsere Empfehlung

• Alle Coze-Studio-Instanzen und deren Versionen inventarisieren.
• Auf 0.5.0 oder neuer aktualisieren und CODE_RUNNER_TYPE=sandbox explizit setzen.
• Zugangsdaten und API-Schlüssel co-lokalisierter Dienste und Modellanbieter rotieren.
• Registrierung auf vertrauenswürdige Benutzer beschränken und Workflow-Ausführungen sowie ausgehende Verbindungen überwachen.
• Öffentliche Deployments und Instanzen mit den Standard-make-Targets priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory www.vulncheck.com
• Lasso vulnerability database www.lasso.security
• Fix commit fcf40d1 github.com
• docker/.env.example at ffec252 github.com
• VulDB entry vuldb.com
• OpenCVE app.opencve.io
• Greenlit field notes greenlitbooks.com
• Coze Studio releases github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:37.