Podatność w module `python_tools` systemu PraisonAI pozwala uwierzytelnionemu użytkownikowi na ucieczkę z ograniczonego środowiska sandbox i wykonanie dowolnego kodu z poziomem uprawnień procesu hosta. Luka otrzymała ocenę CVSS 9.9, co czyni ją podatnością krytyczną.
▸ Pokaż oryginał (EN)
PraisonAI is a multi-agent teams system. Prior to 1.5.115, execute_code() in praisonaiagents.tools.python_tools defaults to sandbox_mode="sandbox", which runs user code in a subprocess wrapped with a restricted __builtins__ dict and an AST-based blocklist. The AST blocklist embedded inside the subprocess wrapper (blocked_attrs of python_tools.py) contains only 11 attribute names — a strict subset of the 30+ names blocked in the direct-execution path. The four attributes that form a frame-traversal chain out of the sandbox are all absent from the subprocess list (__traceback__, tb_frame, f_back, and f_builtins). Chaining these attributes through a caught exception exposes the real Python builtins dict of the subprocess wrapper frame, from which exec can be retrieved and called under a non-blocked variable name — bypassing every remaining security layer. This vulnerability is fixed in 1.5.115.
Funkcja `execute_code()` w `praisonaiagents.tools.python_tools` uruchamia kod użytkownika w podprocesie z ograniczonym słownikiem `__builtins__` oraz blokadą opartą na analizie AST. Lista zablokowanych atrybutów w tym podprocesie zawiera jedynie 11 nazw — znacznie mniej niż 30+ blokowanych w ścieżce bezpośredniego wykonania. Cztery atrybuty kluczowe dla łańcucha przechodzenia przez ramki stosu (`__traceback__`, `tb_frame`, `f_back`, `f_builtins`) są całkowicie nieobecne na liście blokad podprocesu. Atakujący może je połączyć przez obsługę wyjątku, uzyskując dostęp do rzeczywistego słownika `builtins` ramki wrappera, a następnie pobrać i wywołać `exec` pod niezablokowaną nazwą zmiennej — omijając wszystkie pozostałe warstwy zabezpieczeń.
Atakujący z podstawowym dostępem (niskie uprawnienia) może wykonać dowolny kod w kontekście procesu hosta, uzyskując pełną kontrolę nad poufnością, integralnością i dostępnością systemu, w tym możliwość lateral movement w środowiskach wielodostępnych.
Należy zaktualizować PraisonAI do wersji 1.5.115 lub nowszej, w której podatność została naprawiona. Zgodnie z referencjami producenta poprawka jest dostępna w oficjalnym repozytorium GitHub projektu.
PraisonAI (Praison Praisonai) w wersjach wcześniejszych niż 1.5.115
Podatność zgłoszona i naprawiona w ramach GitHub Security Advisory GHSA-qf73-2hrx-xprp. Wektor CVSS wskazuje na brak wymogu interakcji użytkownika oraz zmianę zakresu (Scope:Changed), co oznacza potencjalny wpływ na zasoby poza bezpośrednio podatnym komponentem.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HPraison Praisonai
APPPraison< 1.5.115
Powiązane podatności
Path Traversal i RCE w PraisonAI MCP Server (serwer narzędzi plikowych)
Command Injection w PraisonAI — brak walidacji poleceń MCP
PraisonAI – wyciek tokenów GitHub przez atak ArtiPACKED w CI/CD
PraisonAI — RCE i command injection przez niezaufowane pliki YAML
PraisonAI – nieuwierzytelnione przejęcie sesji przeglądarki przez WebSocket