何が起きたか
piflow 2.0.0から2.0.1には、DeepAgentsチャットエージェントに認証なしのRCEが含まれています。POST /chatおよびPOST /chat/streamエンドポイントには認証がなく、攻撃者はエージェントにexec_shellツールを呼び出すよう指示できます。このツールは、人間の承認や許可リストなしでsubprocess.runを介して任意のコマンドを実行し、LLM APIキーやデータベース資格情報などの環境秘密情報を露出させます。
なぜ重要か
エージェントのシェルツールは認証前に到達可能なため、リモートの呼び出し元はデータパイプラインのチャットエージェントをコマンド実行プリミティブに変え、それが保持するLLM/DBの秘密情報を読み取ることができます。他の認証なしエージェントシェルRCEと同じクラスですが、よりニッチなプロジェクトに該当します。
攻撃経路
POST /chatまたは/chat/streamへの認証なしプロンプトがexec_shellツールを駆動する
影響を受けるシステム
piflow 2.0.0から2.0.1 (cas-bigdatalab)
緩和策
修正版にアップグレードする。/chatエンドポイントに認証を追加し、exec_shellに許可リスト/承認ゲートを実装する