Apa yang terjadi
Diverifikasi melalui NVD REST API. CVE-2026-110631 (diterbitkan 2026-10-14, CVSS 9.8 v3.1 / 9.3 v4.0, CWE-1188): daftar kepercayaan agen Periphery default-nya kosong dan gagal-terbuka, sehingga keypair apa pun diterima dan pemanggil diperlakukan sebagai Core tepercaya. CVE-2026-110005 (diterbitkan 2026-10-13, CERT-CC / KB 456950) adalah bug injeksi perintah saudara di agen yang sama. Keduanya memengaruhi komponen 'periphery'/'agent' dari platform Komodo.
Mengapa penting
Agen Periphery Komodo berjalan di server yang dikelola untuk mengeksekusi penerapan/kontainer; default autentikasi gagal-terbuka mengubah host jaringan yang berdekatan menjadi shell root di armada server. Untuk penerapan AI ini penting karena agen gaya-Komodo semakin berada di samping infrastruktur pelayanan-model dan data dengan izin luas — dan kelemahan injeksi perintah yang berpasangan berarti bahkan pengguna berhak rendah yang 'sah' dapat mencapai root. Konfigurasikan core_public_keys/passkeys dan perbarui ke agen yang diperbaiki.
Vektor serangan
Penyerang tanpa autentikasi menyajikan keypair yang dihasilkan apa pun ke agen Periphery (core_public_keys/passkeys kosong gagal-terbuka secara default), lalu mengeluarkan permintaan API Periphery untuk sesi terminal dan operasi kontainer — eksekusi perintah arbitrer di host yang dikelola, biasanya sebagai root. CVE-2026-110005: pengguna berhak rendah terautentikasi dengan izin Execute/Read+Logs menginterpolasi karakter meta shell dalam nama kontainer yang diteruskan ke sh -c di DestroyContainer/SearchContainerLog.
Sistem yang terdampak
Agen Komodo Periphery hingga 2.3.3 (bypass autentikasi); Komodo 1.19.1–<2.3.0 (CVE-2026-110005 injeksi perintah)
Mitigasi
Perbarui Periphery ke rilis yang diperbaiki dan isi core_public_keys / passkeys secara eksplisit (jangan jalankan dengan daftar kepercayaan kosong); batasi TCP 8120 ke alamat Core tepercaya. Untuk CVE-2026-110005 tingkatkan ke >= 2.3.0. Advisory VulnCheck + repositori moghtech/komodo.