یک نقص امنیتی با شناسه CVE-2026-123032 در فریم‌ورک OpenBMB Internet of Agents (IoA) کشف شده است. این آسیب‌پذیری از نوع Missing Authentication (CWE-306) است و در بخش WebSocket Connection Manager در فایل im_server/app.py رخ داده است.
جزئیات فنی و مکانیسم حمله
در این فریم‌ورک، متد ConnectionManager.connect آرگومان agent_name را از کاربر دریافت کرده و بدون هیچ‌گونه بررسی احراز هویتی، آن را ثبت می‌کند. این موضوع به یک عامل تهدید (Threat Actor) اجازه می‌دهد تا با دستکاری این آرگومان، بدون داشتن اعتبارنامه (Credentials)، به عنوان یک Agent معتبر در سیستم ثبت‌نام کرده یا هویت یک Agent موجود را جعل کند.
تحلیل ریسک و تأثیرات
با توجه به بردار CVSS 4.0، این نقص دارای امتیاز 6.9 است. ویژگی‌های کلیدی این آسیب‌پذیری عبارتند از:
- دسترسی: حمله به صورت از راه دور (Remote) و از طریق شبکه امکان‌پذیر است.
- پیچیدگی: سطح پیچیدگی حمله پایین (Low Complexity) است.
- تعامل کاربر: هیچ‌گونه تعامل کاربر یا دسترسی پیش‌نیاز (Privileges) مورد نیاز نیست.
- تأثیر: تأثیر این حمله به لایه پیام‌رسانی Agentها محدود شده و منجر به تسخیر کامل میزبان (Host Compromise) نمی‌شود.
وضعیت اکسپلویت و اصلاحیه
در حال حاضر یک PoC (اثبات مفهوم) در گیت‌هاب پروژه منتشر شده است، اما کارآمدی آن به طور کامل تأیید نشده است. از آنجایی که این پروژه از مدل Rolling Releases استفاده می‌کند، نسخه اصلاح‌شده مشخصی منتشر نشده و کاربران باید تغییرات مخزن (Repository) را برای یافتن کامیت‌های مربوط به افزودن احراز هویت دنبال کنند.
راهکارهای کاهش ریسک (Mitigation)
تا زمان انتشار اصلاحیه رسمی، توصیه‌های زیر برای مدیران SOC و مهندسین امنیت پیشنهاد می‌شود:
- محدود کردن WebSocket listener به
localhostیا یک رابط شبکه داخلی مورد اعتماد. - استفاده از Firewall برای محدود کردن دسترسی به پورت مربوطه تنها برای میزبان‌های مجاز.
- استقرار یک Reverse Proxy یا Gateway برای اعمال احراز هویت پیش از ارسال درخواست‌ها به سرور.
- غیرفعال کردن کامپوننت
im_serverدر صورتی که نیاز به Agentهای راه دور وجود ندارد.
