SECURITY INTEL · DAILY

2026-10-19 每日安全情報

CSSA 3 · CVE 2 · 投毒 6

10.0 超危 · OpenSandbox Go SDK通過錯誤代理頭轉發租户密鑰導致沙箱內越權訪問

CSSA 獨家預警 3

CSSA 獨家預警 10.0 超危

OpenSandbox Go SDK通過錯誤代理頭轉發租户密鑰導致沙箱內越權訪問

在啓用UseServerProxy模式時，Go SDK未遵循安全規範將租户API Key置於OPEN-SANDBOX-API-KEY頭部進行服務端認證，反而將其注入X-EXECD-ACCESS-TOKEN及OPENSANDBOX-EGRESS-AUTH等被標記為非敏感的前向頭部，導致該憑證隨請求直接泄露至不受信任的沙箱內部環境，攻擊者利用此憑證可在沙箱內發起對生命週期API的惡意調用，從而實現對同租户下所有沙箱實例的創建、檢查、暫停或刪除操作，嚴重破壞系統隔離性與數據機密性。

組件

OpenSandbox是一款提供隔離執行環境的雲原生沙箱平台，其核心架構包含生命週期服務器與數據平面組件旨在實現多租户資源調度與代碼安全隔離，Go SDK作為客户端集成模塊負責建立與服務端的通信連接並管理沙箱實例的生命週期狀態。

類型

Exposure of Sensitive Information to an Unauthorized Actor (CWE-200)

倉庫

github.com/opensandbox-group/OpenSandbox · Star 15957

處置建議

建議重構SDK代理模式下的認證邏輯，確保僅在直連模式下剝離敏感頭部，而在代理模式下嚴格使用專用認證頭傳遞密鑰，同時完善頭部過濾機制以阻斷敏感憑證向沙箱內部透傳，並補充自動化迴歸測試驗證各部署模式下的憑證隔離行為。

CSSA 獨家預警 10.0 超危

dspy框架Local組件因默認綁定全網絡且缺失身份驗證機制導致未授權訪問風險

攻擊者利用dspy.Local組件在初始化時將主機地址硬編碼為0.0.0.0且未配置服務端身份校驗機制的缺陷，通過網絡向目標端口發送HTTP請求即可繞過認證直接訪問受保護的管理路由及模型端點。由於該服務默認暴露於整個局域網環境，且缺乏有效的IP白名單或令牌驗證邏輯，任何處於同一網絡段內的惡意節點均可執行未經授權的模型查詢或狀態探測操作，進而可能導致敏感數據泄露、計算資源被惡意佔用或服務可用性受損等安全後果。

組件

dspy是一款基於斯坦福自然語言處理實驗室開發的聲明式編程語言框架，旨在簡化大型語言模型應用程序的構建與優化過程。其核心架構包含本地模型服務啓動模塊，該組件負責在運行時動態部署並管理本地推理引擎，通過提供兼容OpenAI標準的API接口實現模型推理請求的處理，主要服務於需要低延遲、高可控性的私有化部署場景，以滿足開發者對模型行為精細調控及鏈路追蹤的技術需求。

類型

Missing Authentication for Critical Function (CWE-306)

倉庫

github.com/stanfordnlp/dspy · Star 38687

處置建議

建議修改默認綁定地址為127.0.0.1以限制本地訪問權限，併為外部接入場景引入強制性的API密鑰認證機制。同時應在連接建立階段增加超時控制參數，並採用原子性端口分配策略消除時間檢查到時間使用漏洞，確保服務啓動過程的安全性與穩定性。

CSSA 獨家預警 10.0 超危

deep-searcher因缺失關鍵功能認證機制導致遠程任意文件讀取與服務配置劫持

攻擊者無需任何身份驗證即可通過網絡直接訪問未受保護的端點，利用/load-files/接口讀取服務器任意路徑下的敏感文件，或通過/load-website/發起SSRF請求探測內網資源。更嚴重的是，攻擊者可調用/set-provider-config/篡改LLM或Embedding服務的Provider配置，將處理流量重定向至惡意服務器，從而在後續查詢中竊取此前加載的文件內容及API密鑰，造成數據泄露與系統控制權限丟失。

組件

deep-searcher是一款基於FastAPI框架構建的智能搜索與分析平台，旨在通過集成大語言模型與向量數據庫實現非結構化數據的高效檢索。其核心架構支持本地文件加載、網頁爬取及多模態數據處理，主要服務於企業內部知識管理與自動化問答場景，依賴於開放的網絡接口提供API服務以支撐前後端交互。

類型

Missing Authentication for Critical Function (CWE-306)

倉庫

github.com/zilliztech/deep-searcher · Star 8345

處置建議

建議開發者在所有API端點前強制實施嚴格的身份認證機制，如JWT令牌或API Key校驗。同時限制文件讀取路徑範圍，禁用危險的內網迴環地址解析，並對第三方服務配置變更操作增加白名單校驗與審計日誌記錄。

CVE 情報 2

CVE-2026-102503 CVSS 9.8 超危 2026年10月19日

Google OSS Agent Mesh身份認證繞過漏洞導致任意後端服務調用

在 Google OSS Agent Mesh (SAM) 0.1.0-alpha.1 至 0.1.0-alpha.2 版本中，/libp2p-http 入口服務器（位於 cmd/sam-node/node.go 中的 StartIngressServer）存在關鍵功能缺失身份驗證（CWE-306）和缺失授權（CWE-862）漏洞。該漏洞允許未經身份驗證的遠程 libp2p 對等點繞過 Biscuit 能力策略執行，並調用任意已註冊的後端服務（包括基於命令/stdio 的 MCP 服務器、A2A 和推理端點）。儘管 MCP 協議流處理器強制執行 WithBiscuitAuth 和 Authorize 檢查，但並行的 /libp2p-http 入口路由直接將請求轉發至後端服務處理器，而未驗證 Biscuit 令牌或網格註冊狀態。該漏洞影響所有未升級至 0.1.0-alpha.3 或更高版本的 SAM 用户。攻擊者無需身份驗證即可遠程觸發，直接訪問受保護的後端服務。

組件

Google OSS Agent Mesh (SAM) 是一個開源代理網格框架，用於連接和管理分佈式代理、MCP 服務器及推理端點，支持通過 libp2p 協議進行通信。

風險

未授權訪問後端服務：攻擊者可繞過身份驗證機制，直接調用任意已註冊的後端服務，包括敏感的 MCP 服務器和推理端點
任意代碼執行風險：若後端服務包含基於命令或 stdio 的 MCP 服務器，攻擊者可能通過構造惡意請求觸發命令執行，導致遠程代碼執行
數據泄露與完整性破壞：攻擊者可訪問或篡改通過網格傳輸的敏感數據，破壞系統的機密性和完整性
無身份驗證攻擊：攻擊者無需任何憑證即可發起攻擊，僅需網絡可達性即可利用該漏洞

來源

NVD · CVE-2026-102503

處置建議

立即升級至 Google OSS Agent Mesh (SAM) 0.1.0-alpha.3 或更高版本
在防火牆或網絡層限制對 /libp2p-http 端口的訪問，僅允許受信任的對等點連接
監控後端服務的異常調用日誌，識別未經授權的訪問嘗試

CVE-2026-103091 CVSS 9.8 超危 2026年10月19日

Google OSS Agent Mesh 認證繞過導致遠程代碼執行

在 Google OSS Agent Mesh (SAM) 0.1.0-alpha.1 至 0.1.0-alpha.8 版本中，MCP 代理（mcp_service.go 中的 HandleStreamPassThrough）和 OIDC 註冊流程（internal/controlplane/server.go 中的 GET /info 和 POST /register）存在缺失授權（CWE-862）和資源以不安全默認值初始化（CWE-1188）漏洞。由於 GET /info 公開披露了 OIDC 配置，POST /register 會自動註冊任何持有有效 OIDC 令牌的用户，且未進行聲明過濾或封禁檢查，而默認策略將 sam:system:authenticated 綁定到通配符服務和目標，攻擊者因此可獲得對後端服務具有完全讀取、寫入和執行訪問權限的 Mesh 憑證，允許遠程攻擊者自行註冊加入 Mesh 並在所有連接的 MCP 後端節點上調用任意工具。該漏洞影響所有未更新至 0.1.0-alpha.9 的 Google OSS Agent Mesh 用户。攻擊者僅需利用有效的 OIDC 令牌即可觸發漏洞，無須額外交互即可遠程操控後端服務。

組件

Google OSS Agent Mesh (SAM) 是一個開源代理網格系統，用於連接和管理 MCP 後端節點，支持通過 OIDC 進行身份驗證和註冊。

風險

完全系統控制：攻擊者可利用此漏洞在受害者系統上執行任意代碼，根據用户權限安裝程序、查看/更改/刪除數據或創建具有完全權限的新賬户
遠程未授權訪問：攻擊者可通過構造惡意請求自行註冊加入 Mesh，獲得對後端服務的完全讀取、寫入和執行權限
無用户交互攻擊：攻擊者僅需持有有效 OIDC 令牌即可觸發漏洞，無需目標用户額外交互即可實現遠程操控

來源

NVD · CVE-2026-103091

處置建議

立即升級到 0.1.0-alpha.9 或更高版本，該版本強制實施默認拒絕（fail-closed）策略、註冊時的顯式策略綁定要求以及封禁檢查
監控異常註冊行為和未授權的 MCP 工具調用日誌
對 OIDC 配置信息進行訪問控制，避免公開披露敏感配置