Критичен бъг в OpenHands: root достъп до песъчника ти

Накратко

Критична уязвимост в OpenHands Software Agent SDK, CVE-2026-112346, е публикувана на 26 октомври. Тежест: 9,8 от 10.
Docker и Apptainer вариантите вдигат сървъра на агента на всички мрежови интерфейси с изключена автентикация по подразбиране.
Парите за теб: поправката е обновяване до версия 1.52.0. Безплатно и отнема минути.

Ако пускаш OpenHands агенти в Docker, спри да четеш и провери версията. Всеки, който стига до порта на контейнера, може да изпълнява команди като root и да чете тайните ти. Без парола.

Какво се случи

На 26 октомври е публикувана критична уязвимост в OpenHands Software Agent SDK. Засяга всички версии преди 1.52.0 и има CVSS оценка 9,8, което на практика е таванът.

Причината е настройка по подразбиране. DockerWorkspace и Apptainer вариантите вдигат сървъра на агента на всички мрежови интерфейси и го стартират с празен списък от API ключове за сесия. Празен списък означава изключена автентикация.

Какво може нападател с това: да изпълнява произволни команди като root в песъчника, да чете монтираната работна папка и да извади тайните ти в чист текст. Какво му трябва: мрежов достъп до публикувания порт на контейнера. Без вход, без права, без клик от теб.

Към момента на доклада няма публичен експлойт и уязвимостта не е в каталога на CISA за експлоатирани уязвимости. Това е статусът днес, не гаранция.

Как да го използваш

Провери версията си. Ако OpenHands SDK е под 1.52.0, засегнат си.
Обнови до 1.52.0. Това е поправката, която дава съобщението.
Спри да публикуваш порта на контейнера. Връжи го към localhost, а не към всички интерфейси. Песъчникът няма нужда да е достъпен от мрежата.
Смени тайните, които този контейнер е държал. Ако портът е бил достъпен отвън и не можеш да докажеш, че никой не го е пипал, считай ключовете за изгорели.
Направи същата проверка на всеки агентски контейнер. Не само на този. „Включено по подразбиране, без автентикация“ е модел, не единичен случай.

Сметката: обновяването струва €0 и може би 15 минути. Един изтекъл API ключ към платежен или облачен акаунт може да изяде стотици евро, преди да забележиш, плюс разчистването. Няма да измислям число за щета, защото реалната цена зависи от това докъде стига този контейнер. Провери докъде стига твоят и имаш числото.

Какво означава

Моделът тук е същият като в другите агентски новини тази седмица: опасната част не е моделът, а водопроводът около него. Агентският песъчник е направен да изпълнява произволен код, затова незащитеният песъчник е отдалечен терминал с допълнителни стъпки.

Ако разгръщаш агентска инфраструктура, въведи два навика. Абонирай се за съобщенията за сигурност на всяка агентска рамка, която ползваш. И считай, че всяка настройка по подразбиране е удобната, а не безопасната.

Мнението на Иван

Харесвам OpenHands и това не го променя. Отвореният код има бъгове и получава поправки, бързо. Дразни ме настройката: връзка към всички интерфейси с изключена автентикация не бива да се пуска никога. Обнови днес, затвори порта, а ако тази машина е държала реални ключове, смени ги и спи спокойно.

Източник: The Hacker Wire

За автора

Ivan Ivanov

Основател на