何が起きたか
CVE-2026-67547 / GHSA-h24f-gp4c-8qjm: スキル実行エンドポイントは、呼び出し元が有効なセッションを持っていることだけを検証し、管理者であることは検証しませんでした。非管理者ユーザーは組み込みの code_exec スキルを呼び出すことができ、バックエンドユーザーとして subprocess.run でユーザー提供のPythonを実行し、リモートコード実行を達成する。
なぜ重要か
セルフホスト型AIエージェントOSでは、code_exec スキルはエージェントの自律性のためのメカニズムです。認可の欠如により、招待された任意のユーザーにとってリモートコード実行パスとなり、エージェントを実行しているプラットフォームへのホストシェルアクセスを与える。
攻撃経路
POST /api/skill-exec/{skill_id}/call には管理者ロールチェックがなく、任意の認証済み非管理者ユーザーが code_exec スキルを呼び出せ、バックエンドプロセスのユーザーとして subprocess.run(["python3", "-c", code]) で任意のPythonを実行する。
影響を受けるシステム
jaylfc/taOS < 1.0.0-beta.23 (POST /api/skill-exec/{skill_id}/call, code_exec スキル)
緩和策
スキル実行に管理者セッションまたはホストローカルトークンを要求する taOS 1.0.0-beta.23+ にアップグレードしてください（スキルストアに触れる前に403を返し、_skill_code_exec 内に多層防御チェックを追加します）。skill-execを管理者に制限し、コード実行をサンドボックス内に隔離してください。