Apa yang terjadi
API Workspace MCP AgentScope membangun perintah subproses dari argumen yang dipengaruhi penyerang, memungkinkan injeksi perintah OS jarak jauh (PoC publik). Secara terpisah, Agent Service menyelesaikan pengguna saat ini dari X-User-ID yang disediakan pemanggil (tanpa autentikasi), dan pemeriksaan izin alat Bash tidak benar di versi hingga 2.0.8, memungkinkan perintah yang seharusnya dibatasi.
Mengapa penting
AgentScope menyediakan runtime agen dengan alat Bash dan workspace MCP tempat agen mengeksekusi perintah. Cacat ini memungkinkan penyerang menyuntikkan perintah sistem operasi atau menyamar sebagai pengguna mana pun untuk menjalankan alat agen, membahayakan host tempat agen dan kredensial mereka berada.
Vektor serangan
Penyerang jarak jauh memicu injeksi perintah OS melalui argumen perintah API Workspace MCP, atau menyalahgunakan header X-User-ID untuk melewati autentikasi di Agent Service, atau mengeksploitasi otorisasi yang lebih lemah dari yang diharapkan di alat Bash untuk menjalankan perintah yang seharusnya diblokir.
Sistem yang terdampak
AgentScope <= 2.0.11 (injeksi perintah, bypass autentikasi); <= 2.0.8 (otorisasi alat Bash)
Mitigasi
Belum ada perbaikan yang dirilis — PR perbaikan (agentscope#3448) menunggu penerimaan; pantau untuk rilis yang telah diperbaiki, batasi paparan endpoint workspace MCP dan Agent Service, dan jangan meneruskan string perintah yang tidak tepercaya ke API workspace.