何が起きたか
Docker/Apptainerワークスペースランチャーは、空のsession_api_keysリストでサンドボックスエージェントサーバーを0.0.0.0に起動したため、エージェントサーバー自身の認証がデフォルトで無効になっていた。修正コミットはポート公開をループバック専用（127.0.0.1:8010:8000）に変更し、セッションキーを転送してクライアントとサーバーが一致するようにする。NVD（CVSS 9.8）と修正コミットで確認済み。
なぜ重要か
OpenHandsは、人気のある自律コーディングエージェントプラットフォームのサンドボックスエージェントランタイムである。デフォルトで有効な認証なしRCEは、ネットワークから到達可能な任意のエージェントサンドボックスが攻撃者にroot実行権とホストのマウントされたワークスペースおよび保存された秘密へのアクセスを提供することを意味する。これはエージェント実行用に設計された環境であるため、リモートシェル実行はホストおよびクラウド資格情報の侵害への直接経路である。
攻撃経路
DockerWorkspaceおよびApptainerワークスペースランチャーは、空のsession_api_keysリストでサンドボックスエージェントサーバーをすべてのネットワークインターフェース（0.0.0.0）にバインドし、デフォルトで認証を無効にしている。公開されたコンテナポートに到達できる認証なしの攻撃者は、HTTP/WebSocketリクエストを送信してサンドボックス内でrootとして任意のシェルコマンドを実行し、マウントされたワークスペースにアクセスし、平文の秘密を読み取ることができる。
影響を受けるシステム
OpenHands Software Agent SDK 1.52.0より前（0から<1.52.0までの全バージョン）。
緩和策
OpenHands Software Agent SDK 1.52.0にアップグレードする。修正は公開ポートをループバック（127.0.0.1）にバインドし、セッションAPIキーを転送/検証する。