CVE-2026-81096
KrytyczneCVSS 10.0Streszczenie
ToolUniverse uruchamiał kod Pythona dostarczony przez wywołującego w piaskownicy, którą można było ominąć, na serwerze niewymagającym uwierzytelniania. Wykonawca narzędzia python_code_executor sprawdzał źródło pod kątem listy zabronionych nazw atrybutów i wywołań, ale pozostawiał dostępne wbudowane funkcje wyszukiwania atrybutów i nie blokował atrybutów dunder osiąganych przez wyszukiwanie stringów lub przez dozwolony moduł. Pozwalało to na przejście od klasy literału do jej baz i wyliczenie podklas w celu uzyskania odniesienia do modułów process i subprocess. Dodatkowy argument pozwalał na rozszerzenie listy dozwolonych importów przed inspekcją. Serwery HTTP i MCP nasłuchiwały na wszystkich interfejsach z włączonym debugowaniem i bez uwierzytelniania, więc każdy wywołujący mógł wykonać kod jako proces serwera. Wersja 1.3.0 dodaje uwierzytelnianie bearer-token, domyślnie ustawia adres na loopback i wzmacnia sprawdzanie atrybutów.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod na serwerze, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaktualizuj ToolUniverse do wersji 1.3.0 lub nowszej, która zawiera poprawki bezpieczeństwa, oraz skonfiguruj uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
ToolUniverse ran caller-supplied Python inside a sandbox that could be escaped, on a server that required no authentication. The executor behind the python_code_executor tool, in python_executor_tool.py, inspected the submitted source for a denied list of attribute names and calls but left the attribute-lookup builtins available and did not stop a dunder attribute reached through a string lookup or through a module already permitted, so a caller could walk from a literal's class to its base and enumerate subclasses to obtain a reference to the process and subprocess modules. A per-call argument also let the caller widen the import allow-list before the inspection ran. The HTTP and MCP servers in http_api_server.py and smcp_server.py bound to every interface with debugging enabled and no authentication, so any caller able to reach the port executed code as the server process. Version 1.3.0 adds bearer-token authentication, defaults the bind address to loopback, and hardens the attribute checks.