CVE-2026-113663 Inyección de saltos de línea en SandboxShellTool de AG2 omite allowed=[...] y readonly=True y permite…
En AG2, las configuraciones de SandboxShellTool con allowed=[...] o readonly=True validan el prefijo del comando mediante ShellAdapter._filter y contains_shell_operator, pero el filtro omite los separadores de salto de línea y retorno de carro, y la cadena aceptada se pasa a sh -c. Un comando influenciado por el atacante puede ejecutar una sentencia arbitraria adicional; con el backend LocalEnvironment por defecto, se ejecuta como subproceso del host con los privilegios del proceso del agente. Corregido en ag2…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 28
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
ag2ai ag2
>= 0.13.2, < 1.1.1
ag2ai autogen
>= 0.13.2, <= 0.14.1
Qué hacer
- Verificá si usás ag2 y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
AG2 is an open-source AgentOS. From 0.13.2 until ag2 1.1.1, and from autogen 0.13.2 to 0.14.1, SandboxShellTool configurations using allowed=[...] or readonly=True rely on ShellAdapter._filter and contains_shell_operator in ag2/tools/sandbox/filter.py and ag2/tools/sandbox/adapter/shell.py to validate a command prefix and reject selected shell syntax. The filter omits newline and carriage-return separators, while the accepted raw string is passed to sh -c, allowing an attacker-influenced agent command to execute an additional arbitrary statement. With the default LocalEnvironment backend, the injected statement runs as a host subprocess with the privileges of the agent process and can affect confidentiality, integrity, and availability. This issue is fixed in ag2 version 1.1.1.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.