Biblioteka PraisonAIAgents w wersjach przed 1.5.128 zawiera podatność typu command injection (CWE-78) wynikającą z bezpośredniego przekazywania kontrolowanych przez użytkownika ciągów poleceń do subprocess.run() z parametrem shell=True. Podatność jest groźna, ponieważ atakujący może wykonać dowolne polecenia systemowe bez interakcji użytkownika, a w scenariuszu z prompt injection — ustanowić trwały mechanizm wykonania kodu przy każdym zdarzeniu cyklu życia agenta.
▸ Pokaż oryginał (EN)
PraisonAIAgents is a multi-agent teams system. Prior to 1.5.128, he memory hooks executor in praisonaiagents passes a user-controlled command string directly to subprocess.run() with shell=True at src/praisonai-agents/praisonaiagents/memory/hooks.py. No sanitization is performed and shell metacharacters are interpreted by /bin/sh before the intended command executes. Two independent attack surfaces exist. The first is via pre_run_command and post_run_command hook event types registered through the hooks configuration. The second and more severe surface is the .praisonai/hooks.json lifecycle configuration, where hooks registered for events such as BEFORE_TOOL and AFTER_TOOL fire automatically during agent operation. An agent that gains file-write access through prompt injection can overwrite .praisonai/hooks.json and have its payload execute silently at every subsequent lifecycle event without further user interaction. This vulnerability is fixed in 1.5.128.
Executor hooków pamięci w pliku src/praisonai-agents/praisonaiagents/memory/hooks.py przekazuje ciąg polecenia bezpośrednio do subprocess.run() z opcją shell=True, bez jakiejkolwiek sanityzacji. Metacharaktary powłoki są interpretowane przez /bin/sh, co umożliwia wstrzyknięcie dowolnych poleceń. Istnieją dwie niezależne powierzchnie ataku: pierwsza to zdarzenia hooków pre_run_command i post_run_command rejestrowane przez konfigurację hooków; druga, poważniejsza, to plik konfiguracyjny .praisonai/hooks.json, w którym hooki zarejestrowane dla zdarzeń takich jak BEFORE_TOOL i AFTER_TOOL są wykonywane automatycznie podczas działania agenta. Agent, który uzyska dostęp do zapisu pliku poprzez prompt injection, może nadpisać .praisonai/hooks.json i spowodować ciche wykonywanie swojego payload'u przy każdym kolejnym zdarzeniu cyklu życia.
Atakujący może wykonać dowolne polecenia systemowe z uprawnieniami procesu agenta, potencjalnie uzyskując pełną kontrolę nad systemem oraz środowiskiem, w którym działa aplikacja. W scenariuszu z prompt injection możliwe jest trwałe wykonywanie złośliwego kodu bez dalszej interakcji użytkownika.
Należy zaktualizować PraisonAIAgents do wersji 1.5.128 lub nowszej, w której podatność została naprawiona. Referencje: https://github.com/MervinPraison/PraisonAI/security/advisories/GHSA-v7px-3835-7gjx
PraisonAI — biblioteka PraisonAIAgents we wszystkich wersjach przed 1.5.128
Podatność wymaga jedynie lokalnego dostępu (AV:L) z uprawnieniami zwykłego użytkownika (PR:L), jednak wyjątkowe ryzyko stanowi możliwość eskalacji przez prompt injection — agent z dostępem do zapisu plików może automatycznie nadpisać .praisonai/hooks.json i utrwalić wykonanie payload'u bez żadnej dalszej interakcji.
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XPraison Praisonaiagents
APPPraison< 1.5.128
Powiązane podatności
PraisonAI — RCE i command injection przez niezaufowane pliki YAML
PraisonAI – nieuwierzytelnione przejęcie sesji przeglądarki przez WebSocket
PraisonAI: Pominięcie sandboxa w execute_code() umożliwia RCE
PraisonAI is a multi-agent teams system. Prior to praisonai version 4.6.9 and praisonaiagents version 1.6.9, t...
PraisonAI is a multi-agent teams system. Prior to version 1.6.32, the URL checking logic in PraisonAI has a lo...