Cognition 0.13.0未満で認証なしのコード実行、修正版あり
AIエージェント基盤のCognitionに、認証なしで外部からサーバー上の任意のコマンドを実行できる弱点が見つかりました。0.13.0より前の版を使っている組織が対象で、0.13.0への更新と、APIが外部から届かない状態かの確認が必要です。実際の攻撃での悪用が確認されたとの情報は、現時点で明らかになっていません。
急ぎ度: 早めに
CVSS 9.8の致命的な弱点で、認証なしでネットワーク越しにコマンドを実行されるおそれがありますが、実際の攻撃での悪用確認(KEV掲載)は公表されておらず、修正版が出ているためです。
関係があるか
Cognition 0.13.0より前の版を動かしていて、そのREST/SSE APIに他のホストや利用者から接続できる環境が影響を受けます。社内ネットワークやクラウド上に検証用として立てたサーバーも対象になりえます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Cognition | 0.13.0より前のすべての版 | 0.13.0 |
確かめ方
- 1Cognitionを導入しているサーバー、コンテナ、開発環境の一覧を作り、使っている版が0.13.0より前でないかを確認します。
- 2pipやコンテナイメージなど、導入に使った手段で版を確認します。例:
pip show cognition(導入方法によって名前が異なる場合があります)。 - 3APIの待ち受けアドレスと、ファイアウォールやセキュリティグループの設定を確認し、信頼できない範囲から接続できないかを調べます。
- 4エージェントの実行先(サンドボックスのバックエンド)が、既定のローカル実行のままになっていないかを設定で確認します。
何が起きたか
AIエージェントを動かすための基盤ソフトウェアCognitionに、パスワードなどの認証が一切不要で、外部から操作できてしまう弱点が見つかりました。しかも既定の設定では、エージェントが実行するコマンドがサーバー本体の上でそのまま動きます。つまり、APIに接続できる人なら誰でも、サーバー上でコマンドを実行させられる状態でした。
原因は2つの設計上の問題が重なったことです。1つは、REST/SSE APIに認証の仕組みが付属していないこと。もう1つは、エージェントの実行環境(サンドボックスのバックエンド)の既定値がローカル実行になっていることです。分類は、重要な機能に認証がない問題(CWE-306)です。
具体的には、セッションを作るAPIと、そのセッションにメッセージを送るAPIが、資格情報なしで使えます。送られた内容をもとにエージェントの処理(Deep AgentsのReActループ)がローカルのシェルを通じてコマンドを実行するため、結果としてサーバープロセスの権限で任意のコードが動きます。0.13.0で修正されたことは、公式のリリースで案内されています。
攻撃の流れ
-
1
APIへ到達
攻撃者がCognitionのAPIに通信できる位置にいます。
-
2
セッション作成
認証なしでセッションを作る要求を送ります。
-
3
指示を送信
そのセッションに、認証なしでメッセージを送ります。
-
4
コマンド実行
エージェントがローカルのシェルで、攻撃者の意図した処理を実行します。
-
5
サーバー掌握
サーバープロセスの権限で、情報の持ち出しや改ざんが可能になります。
どう悪用されるか
悪用に必要なのは、CognitionのAPIにネットワークから接続できることだけです。認証は不要で、利用者の操作も必要ありません。攻撃の難易度は低いと評価されています(CVSS:3.1/AV:N/AC:L/PR:N/UI:N)。
悪用された場合、サーバープロセスの権限でコマンドが実行されます。そのため、サーバー上のファイルや環境変数に置かれたAPIキー・認証情報の漏えい、データの改ざんや削除、サービスの停止、そこを足がかりにした社内の別システムへの侵入が懸念されます。AIエージェントの基盤は外部サービスの鍵を持っていることが多く、影響が広がりやすい点にも注意が必要です。
実際の攻撃での悪用が確認されたかどうかは、現時点で明らかになっていません。KEV(悪用が確認された脆弱性の一覧)への掲載も公表されていません。
今すぐやること
-
1
0.13.0へ更新する
Cognitionを0.13.0以降に更新します。更新後は、設定の既定値や認証まわりの案内が変わっていないか、リリースノートで確認してください。
-
2
APIを外部から届かない状態にする
更新が済むまでの間も、APIの待ち受け範囲を必要最小限にし、インターネットや広い社内ネットワークから接続できないようにします。
-
3
導入している版を確認する
開発用・検証用に個人が立てたものも含めて、使われているCognitionの版を洗い出します。
pip show cognition -
4
不審なアクセスの痕跡を調べる
/sessionsと/sessions/{id}/messagesへの、心当たりのない接続元からのアクセスがないかログを確認します。 -
5
認証情報の入れ替えを検討する
外部から到達できる状態で動かしていた場合は、そのサーバーに置かれていたAPIキーやトークンを、侵害された前提で再発行するかを判断します。
すぐ更新できないとき
すぐに更新できない場合は、APIをローカルホストや限られた管理用ネットワークだけに閉じ、ファイアウォールやアクセス制御で信頼できる接続元に限定してください。認証付きのリバースプロキシを前段に置く方法もあります。また、エージェントの実行環境を、サーバー本体から分離したサンドボックスに切り替えられるか、公式の文書で確認してください。これらは暫定的な対処で、根本の解決は0.13.0への更新です。
背景
AIエージェント基盤は、利用者の指示を受けて、プログラムの実行やファイル操作などを自動で行う仕組みです。社内では業務の自動化や開発支援に使われ、外部サービスのAPIキーや社内データに触れる権限を持つことが少なくありません。そのため、外から操作できてしまうと、被害がサーバー1台にとどまらない場合があります。
認証がないまま外部に公開された管理用APIや実行用APIが、そのまま遠隔操作の入口になる問題は、さまざまな製品で繰り返し起きてきました。試験用に立てた環境が、安全設計を前提にしないまま社内外から到達できる状態になっている点も、よくある原因です。
よくある質問
Q.社内ネットワークだけで使っているので、影響はありませんか。
Q.すでに悪用されていますか。
Q.更新以外に、根本的な対策はありますか。
まだ分かっていないこと
- 実際の攻撃での悪用の有無と、被害の事例は公表されていません。
- 0.13.0で、認証や既定のバックエンドがどのように変更されたかの詳細は、ここでは示されていません。公式のリリースノートで確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Cognition before 0.13.0 contains an unauthenticated remote code execution vulnerability due to defaulting its agent sandbox backend to local execution and shipping no authentication on its REST/SSE API. Attackers can create a session via POST /sessions and post a message via POST /sessions/{id}/messages without credentials, causing the Deep Agents ReAct loop to run attacker-directed shell commands through the local shell backend, resulting in remote code execution as the server process.
出典: NIST National Vulnerability Database NVD GitHub Advisory
参照URL
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- patch github.com
- report lasso.security
- web github.com