Podatności Agno

Agno w wersjach przed 2.3.24 zawiera podatność na wykonanie dowolnego kodu w komponencie wykonawczym modelu, która pozwala atakującym na wykonanie dowolnego kodu Python poprzez manipulację parametrem field_type przekazywanym do eval(). Atakujący mogą wpłynąć na wartość field_type w FunctionCall, aby osiągnąć zdalne wykonanie kodu.

Agno w wersji do 2.5.8 włącznie jest podatny na zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie promptu. Komponenty PythonTools i ShellTools przekazują niesanityzowane argumenty generowane przez LLM bezpośrednio do funkcji wykonawczych, takich jak exec(), runpy.run_path() i subprocess.run(). Nieuwierzytelniony atakujący może to wykorzystać, osadzając złośliwe instrukcje w treści przetwarzanej przez agenta (np. strony internetowe lub dokumenty), co pozwala na wykonanie dowolnego kodu i poleceń systemu operacyjnego na serwerze.

PythonTools w Agno (libs/agno/agno/tools/python.py) zawiera podatność na path traversal, umożliwiającą atakującym odczyt, zapis lub wykonanie dowolnych plików poprzez podanie sekwencji typu '../../' w argumencie file_name w akcjach read_file, save_to_file lub run_python_file. Atak może być przeprowadzony przez bezpośrednie wywołanie narzędzia lub przez wstrzyknięcie promptu w treści przetwarzanej przez agenta.

W bibliotece agno w wersji 2.6.5 wykryto podatność na wstrzykiwanie SQL w backendzie bazy danych ClickHouse. Luka występuje w metodzie delete_by_metadata() w pliku clickhousedb.py, która niebezpiecznie interpoluje klucze i wartości metadanych do zapytań SQL. Atakujący może wstrzyknąć dowolne wyrażenia SQL, co umożliwia usunięcie wszystkich wierszy, wybranie konkretnych danych lub ich wyodrębnienie poprzez błędy lub ślepe wstrzykiwanie SQL.