Apa yang terjadi
Peluncur workspace Docker/Apptainer memulai server agen sandbox pada 0.0.0.0 dengan daftar session_api_keys kosong, sehingga autentikasi server agen itu sendiri dinonaktifkan secara default. Commit perbaikan mengubah publikasi port menjadi hanya loopback (127.0.0.1:8010:8000) dan meneruskan kunci sesi agar klien dan server setuju. Dikonfirmasi melalui NVD (CVSS 9.8) dan commit perbaikan.
Mengapa penting
OpenHands adalah runtime agen sandbox untuk platform agen coding otonom yang populer; RCE tanpa autentikasi yang aktif secara default berarti setiap sandbox agen yang dapat dijangkau jaringan memberi penyerang eksekusi root plus akses ke workspace yang dipasang di host dan rahasia yang tersimpan. Ini adalah lingkungan yang dirancang untuk dieksekusi agen, sehingga eksekusi shell jarak jauh adalah jalur langsung menuju kompromi host dan kredensial cloud.
Vektor serangan
Peluncur DockerWorkspace dan Apptainer workspace mengikat server agen sandbox ke semua antarmuka jaringan (0.0.0.0) dengan daftar session_api_keys kosong, menonaktifkan autentikasi secara default. Penyerang tanpa autentikasi yang dapat menjangkau port kontainer yang dipublikasikan mengirim permintaan HTTP/WebSocket untuk mengeksekusi perintah shell arbitrer sebagai root di dalam sandbox, mengakses workspace yang dipasang, dan membaca rahasia teks polos.
Sistem yang terdampak
OpenHands Software Agent SDK sebelum 1.52.0 (semua versi dari 0 hingga <1.52.0).
Mitigasi
Tingkatkan ke OpenHands Software Agent SDK 1.52.0. Perbaikan mengikat port yang dipublikasikan ke loopback (127.0.0.1) dan meneruskan/memvalidasi kunci API sesi.