SECURITY INTEL · DAILY

2026-10-19 每日安全情报

CSSA 3 · CVE 2 · 投毒 6

10.0 超危 · OpenSandbox Go SDK通过错误代理头转发租户密钥导致沙箱内越权访问

CSSA 独家预警 3

CSSA 独家预警 10.0 超危

OpenSandbox Go SDK通过错误代理头转发租户密钥导致沙箱内越权访问

在启用UseServerProxy模式时，Go SDK未遵循安全规范将租户API Key置于OPEN-SANDBOX-API-KEY头部进行服务端认证，反而将其注入X-EXECD-ACCESS-TOKEN及OPENSANDBOX-EGRESS-AUTH等被标记为非敏感的前向头部，导致该凭证随请求直接泄露至不受信任的沙箱内部环境，攻击者利用此凭证可在沙箱内发起对生命周期API的恶意调用，从而实现对同租户下所有沙箱实例的创建、检查、暂停或删除操作，严重破坏系统隔离性与数据机密性。

组件

OpenSandbox是一款提供隔离执行环境的云原生沙箱平台，其核心架构包含生命周期服务器与数据平面组件旨在实现多租户资源调度与代码安全隔离，Go SDK作为客户端集成模块负责建立与服务端的通信连接并管理沙箱实例的生命周期状态。

类型

Exposure of Sensitive Information to an Unauthorized Actor (CWE-200)

仓库

github.com/opensandbox-group/OpenSandbox · Star 15957

处置建议

建议重构SDK代理模式下的认证逻辑，确保仅在直连模式下剥离敏感头部，而在代理模式下严格使用专用认证头传递密钥，同时完善头部过滤机制以阻断敏感凭证向沙箱内部透传，并补充自动化回归测试验证各部署模式下的凭证隔离行为。

CSSA 独家预警 10.0 超危

dspy框架Local组件因默认绑定全网络且缺失身份验证机制导致未授权访问风险

攻击者利用dspy.Local组件在初始化时将主机地址硬编码为0.0.0.0且未配置服务端身份校验机制的缺陷，通过网络向目标端口发送HTTP请求即可绕过认证直接访问受保护的管理路由及模型端点。由于该服务默认暴露于整个局域网环境，且缺乏有效的IP白名单或令牌验证逻辑，任何处于同一网络段内的恶意节点均可执行未经授权的模型查询或状态探测操作，进而可能导致敏感数据泄露、计算资源被恶意占用或服务可用性受损等安全后果。

组件

dspy是一款基于斯坦福自然语言处理实验室开发的声明式编程语言框架，旨在简化大型语言模型应用程序的构建与优化过程。其核心架构包含本地模型服务启动模块，该组件负责在运行时动态部署并管理本地推理引擎，通过提供兼容OpenAI标准的API接口实现模型推理请求的处理，主要服务于需要低延迟、高可控性的私有化部署场景，以满足开发者对模型行为精细调控及链路追踪的技术需求。

类型

Missing Authentication for Critical Function (CWE-306)

仓库

github.com/stanfordnlp/dspy · Star 38687

处置建议

建议修改默认绑定地址为127.0.0.1以限制本地访问权限，并为外部接入场景引入强制性的API密钥认证机制。同时应在连接建立阶段增加超时控制参数，并采用原子性端口分配策略消除时间检查到时间使用漏洞，确保服务启动过程的安全性与稳定性。

CSSA 独家预警 10.0 超危

deep-searcher因缺失关键功能认证机制导致远程任意文件读取与服务配置劫持

攻击者无需任何身份验证即可通过网络直接访问未受保护的端点，利用/load-files/接口读取服务器任意路径下的敏感文件，或通过/load-website/发起SSRF请求探测内网资源。更严重的是，攻击者可调用/set-provider-config/篡改LLM或Embedding服务的Provider配置，将处理流量重定向至恶意服务器，从而在后续查询中窃取此前加载的文件内容及API密钥，造成数据泄露与系统控制权限丢失。

组件

deep-searcher是一款基于FastAPI框架构建的智能搜索与分析平台，旨在通过集成大语言模型与向量数据库实现非结构化数据的高效检索。其核心架构支持本地文件加载、网页爬取及多模态数据处理，主要服务于企业内部知识管理与自动化问答场景，依赖于开放的网络接口提供API服务以支撑前后端交互。

类型

Missing Authentication for Critical Function (CWE-306)

仓库

github.com/zilliztech/deep-searcher · Star 8345

处置建议

建议开发者在所有API端点前强制实施严格的身份认证机制，如JWT令牌或API Key校验。同时限制文件读取路径范围，禁用危险的内网回环地址解析，并对第三方服务配置变更操作增加白名单校验与审计日志记录。

CVE 情报 2

CVE-2026-102503 CVSS 9.8 超危 2026年10月19日

Google OSS Agent Mesh身份认证绕过漏洞导致任意后端服务调用

在 Google OSS Agent Mesh (SAM) 0.1.0-alpha.1 至 0.1.0-alpha.2 版本中，/libp2p-http 入口服务器（位于 cmd/sam-node/node.go 中的 StartIngressServer）存在关键功能缺失身份验证（CWE-306）和缺失授权（CWE-862）漏洞。该漏洞允许未经身份验证的远程 libp2p 对等点绕过 Biscuit 能力策略执行，并调用任意已注册的后端服务（包括基于命令/stdio 的 MCP 服务器、A2A 和推理端点）。尽管 MCP 协议流处理器强制执行 WithBiscuitAuth 和 Authorize 检查，但并行的 /libp2p-http 入口路由直接将请求转发至后端服务处理器，而未验证 Biscuit 令牌或网格注册状态。该漏洞影响所有未升级至 0.1.0-alpha.3 或更高版本的 SAM 用户。攻击者无需身份验证即可远程触发，直接访问受保护的后端服务。

组件

Google OSS Agent Mesh (SAM) 是一个开源代理网格框架，用于连接和管理分布式代理、MCP 服务器及推理端点，支持通过 libp2p 协议进行通信。

风险

未授权访问后端服务：攻击者可绕过身份验证机制，直接调用任意已注册的后端服务，包括敏感的 MCP 服务器和推理端点
任意代码执行风险：若后端服务包含基于命令或 stdio 的 MCP 服务器，攻击者可能通过构造恶意请求触发命令执行，导致远程代码执行
数据泄露与完整性破坏：攻击者可访问或篡改通过网格传输的敏感数据，破坏系统的机密性和完整性
无身份验证攻击：攻击者无需任何凭证即可发起攻击，仅需网络可达性即可利用该漏洞

来源

NVD · CVE-2026-102503

处置建议

立即升级至 Google OSS Agent Mesh (SAM) 0.1.0-alpha.3 或更高版本
在防火墙或网络层限制对 /libp2p-http 端口的访问，仅允许受信任的对等点连接
监控后端服务的异常调用日志，识别未经授权的访问尝试

CVE-2026-103091 CVSS 9.8 超危 2026年10月19日

Google OSS Agent Mesh 认证绕过导致远程代码执行

在 Google OSS Agent Mesh (SAM) 0.1.0-alpha.1 至 0.1.0-alpha.8 版本中，MCP 代理（mcp_service.go 中的 HandleStreamPassThrough）和 OIDC 注册流程（internal/controlplane/server.go 中的 GET /info 和 POST /register）存在缺失授权（CWE-862）和资源以不安全默认值初始化（CWE-1188）漏洞。由于 GET /info 公开披露了 OIDC 配置，POST /register 会自动注册任何持有有效 OIDC 令牌的用户，且未进行声明过滤或封禁检查，而默认策略将 sam:system:authenticated 绑定到通配符服务和目标，攻击者因此可获得对后端服务具有完全读取、写入和执行访问权限的 Mesh 凭证，允许远程攻击者自行注册加入 Mesh 并在所有连接的 MCP 后端节点上调用任意工具。该漏洞影响所有未更新至 0.1.0-alpha.9 的 Google OSS Agent Mesh 用户。攻击者仅需利用有效的 OIDC 令牌即可触发漏洞，无须额外交互即可远程操控后端服务。

组件

Google OSS Agent Mesh (SAM) 是一个开源代理网格系统，用于连接和管理 MCP 后端节点，支持通过 OIDC 进行身份验证和注册。

风险

完全系统控制：攻击者可利用此漏洞在受害者系统上执行任意代码，根据用户权限安装程序、查看/更改/删除数据或创建具有完全权限的新账户
远程未授权访问：攻击者可通过构造恶意请求自行注册加入 Mesh，获得对后端服务的完全读取、写入和执行权限
无用户交互攻击：攻击者仅需持有有效 OIDC 令牌即可触发漏洞，无需目标用户额外交互即可实现远程操控

来源

NVD · CVE-2026-103091

处置建议

立即升级到 0.1.0-alpha.9 或更高版本，该版本强制实施默认拒绝（fail-closed）策略、注册时的显式策略绑定要求以及封禁检查
监控异常注册行为和未授权的 MCP 工具调用日志
对 OIDC 配置信息进行访问控制，避免公开披露敏感配置