- Son 7 gün
- CWE-285
- CWE-863
CVE-2026-123023
AgentScope Bash aracında yetkilendirme hatası (check_permissions)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, AgentScope kullanan yapay zekâ ajanlarının izinsiz komut çalıştırmasına yol açabilir ve kolayca istismar edilebilir durumdadır. Halka açık bir istismar kodu bulunduğu için etkilenen sistemlerin hızla güncellenmesi önemlidir.
ÖzetTürkçe
AgentScope, bir yapay zekâ ajanı çatısıdır ve Bash aracı, ajanların komut çalıştırmasına izin verir. 2.0.0 ile 2.0.8 arasındaki sürümlerde, Bash aracının izin denetimini yapan check_permissions fonksiyonunda yetkilendirme hatası bulunmaktadır. Uzaktan ve kimlik doğrulaması olmadan istismar edilebilir ve halka açık bir istismar kodu yayımlanmıştır.
Saldırgan ne yapabilir?
Saldırgan, yetkisi olmayan komutları çalıştırarak sistemin gizliliğini, bütünlüğünü ve erişilebilirliğini etkileyebilir.
Kaynaktaki açıklama (İngilizce)
A flaw has been found in agentscope-ai AgentScope up to 2.0.8. This affects the function check_permissions of the file src/agentscope/tool/_builtin/_bash.py of the component Bash Tool. This manipulation causes incorrect authorization. Remote exploitation of the attack is possible. The exploit has been published and may be used. Upgrading to version 2.0.9 mitigates this issue. Patch name: 6b43b13a46401e86abd3defeed9a8bfe5b37bc6d. It is recommended to upgrade the affected component.
Ne yapmalı?
- AgentScope'u 2.0.9 veya daha yeni bir sürüme yükseltin. Düzeltme, 6b43b13a46401e86abd3defeed9a8bfe5b37bc6d yamasıyla sağlanmaktadır. Genel öneri
- Yükseltmeyi yapamıyorsanız, Bash aracının kullanımını geçici olarak kapatın veya ajanların bu araca erişimini kısıtlayın. Genel öneri
- Ajanların çalıştırabildiği komutları ve dış kaynaklı girdileri inceleyerek olağandışı komut çalıştırma kayıtlarını kontrol edin. Genel öneri
Ek önlemler
- Ajanları en az yetki ilkesiyle çalıştırın ve yapay zekâ ajanlarının erişebildiği dosya sistemi ve ağ kaynaklarını sınırlandırın. Genel öneri
- Bash aracının çalıştırdığı komutların kayıtlarını tutun ve anormal etkinlikler için izleme uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| agentscope-ai AgentScope | 2.0.0 | – |
| 2.0.1 | – | |
| 2.0.2 | – | |
| 2.0.3 | – | |
| 2.0.4 | – | |
| 2.0.5 | – | |
| 2.0.6 | – | |
| 2.0.7 | – | |
| 2.0.8 | – | |
| 2.0.9 Etkilenmiyor | – |
Kaynaklar12 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/agentscope-ai/agentscope/pull/2629 Yama
- github.com/…ommit/6b43b13a46401e86abd3defeed9a8bfe5b37bc6d Yama
- github.com/agentscope-ai/agentscope/releases/tag/v2.0.9 Yama
- vuldb.com/cve/CVE-2026-123023 Üçüncü taraf
- vuldb.com/submit/1033131 Üçüncü taraf
- github.com/agentscope-ai/agentscope/issues/3313 Üçüncü taraf
- github.com/…-tee-misclassification-arbitrary-file-write.md İstismar kodu ya da analiz
- vuldb.com/vuln/431396 Diğer
- vuldb.com/vuln/431396/cti Diğer
- github.com/agentscope-ai/agentscope Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.