„`html
Zusammenfassung
Eine kritische Remote Code Execution (RCE) Schwachstelle wurde in PraisonAI vor Version 1.6.78 identifiziert. Die Vulnerability CVE-2026-61443 mit CVSS-Score 8.1 ermöglicht es Angreifern, beliebige Skripte aus dem gesamten Dateisystem auszuführen. Die fehlende Validierung von Dateipfaden in der Funktion SkillTools.run_skill_script() ist die Ursache.
Betroffene Systeme
Die Schwachstelle betrifft PraisonAI-Installationen in Version 1.6.77 und älteren Versionen. Das Vulnerability wird ĂĽber das Netzwerk ausgelöst (Network Vector). Systeme mit aktivierter SkillTools-Komponente sind besonders gefährdet. Der Severity Level ist als „High“ eingestuft und erfordert zeitnahe Remediation.
Technische Details
Die vulnerable Funktion SkillTools.run_skill_script() führt Skripte aus, ohne die übergebenen Dateipfade zu validieren. Angreifer können absolute Dateipfade (z.B. /etc/passwd, /root/.ssh/id_rsa) oder Pfade außerhalb des intended working directory spezifizieren. Dies ermöglicht Zugriff auf sensitive Systemdateien und deren Ausführung mit den Privilegien des PraisonAI-Prozesses. Eine Path Traversal Kombination mit Code Execution führt zu vollständiger Systemkompromittierung.
Empfohlene Massnahmen
- Sofortige Massnahmen: Isolieren Sie betroffene Systeme vom Netzwerk oder deaktivieren Sie die SkillTools-Funktion
- Monitoring: Implementieren Sie Logging und Monitoring fĂĽr run_skill_script() Aufrufe
- Netzwerkschutz: Beschränken Sie Netzwerkzugriff auf PraisonAI-Instanzen
- Update: Warten Sie auf Patch Version 1.6.78+ und fĂĽhren Sie zeitnahe Updates durch
- WAF/IDS: Implementieren Sie Pattern-basierte Detection für verdächtige Pfadangaben
Bewertung
Mit CVSS 8.1 und verfügbarem Angriffsvektor stellt diese Vulnerability eine erhebliche Bedrohung dar. Ohne verfügbaren Patch ist sofortige Mitigation erforderlich. Die Kombination aus fehlender Input-Validierung und direkter Skriptausführung ermöglicht vollständige Systemkompromittierung. Eine regelmäßige Überprüfung auf Exploit-Aktivitäten und zeitnahe Patch-Implementierung sind essentiell.
„`