praison の脆弱性(CVE-2026-44336・CVSS 9.6)

概要

praison に脆弱性 (CVE-2026-44336) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。praisonai.rules.create 経由で攻撃可能。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Summary

PraisonAI's MCP (Model Context Protocol) server (praisonai mcp serve) registers four file-handling tools by default — praisonai.rules.create, praisonai.rules.show, praisonai.rules.delete, and praisonai.workflow.show. Each accepts a path or filename string from MCP tools/call arguments and joins it onto ~/.praison/rules/ (or, for workflow.show, accepts an absolute path) with no containment check. The JSON-RPC dispatcher passes params["arguments"] blind to each handler via **kwargs without validating against the advertised input schema.

By setting rule_name="../../" an attacker walks out of the rules directory and writes any file the running user can write. Dropping a Python .pth file into the user site-packages directory escalates this primitive to arbitrary code execution in any subsequent Python process the user spawns — the next praisonai CLI invocation, an IDE script run, the user's python REPL, or any background Python service. The same primitive is reachable from:

An MCP-connected LLM (Claude Desktop, Cursor, Continue.dev, Claude Code) whose context is poisoned by attacker-controlled web content / documents / emails — no operator click required beyond ordinary "ask the LLM to summarise this page" usage.
praisonai mcp serve --transport http-stream with no --api-key (default), reachable from any local process / DNS-rebound browser tab / container neighbour sharing loopback.
Stdio MCP from any prompt-injection…

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

PraisonAIのシステムに潜んでいた問題では、攻撃者が特定のファイルに不正にアクセスし内容を書き換えることで、プログラムを勝手に動かせる危険がありました。この問題は、バージョン4.6.34で修正されていますので、できるだけ早くアップデートを行い、安全かどうかを確認することが推奨されます。また、システムの使用中に不審な動きがないかもチェックしましょう。

PraisonAIのMCPサーバー（praisonai mcp serve）では、デフォルトで4つのファイル操作ツールが登録されており、これらはMCP tools/callからの引数を確認せずに受け入れます。特に"rule_name"パラメータを"../../<path>"で渡すことで、ルールディレクトリを脱出し、任意のファイルに書き込みが可能です。またPython .pthファイルをユーザのsite-packagesディレクトリに配置することで、任意のコードを実行できます。影響を受けるバージョンは4.6.34未満で、この問題は4.6.34で修正されています。これらのツールによるファイルパスの脆弱性を利用して、攻撃者は容易にリモートコード実行を引き起こすことが可能です。

❓ 何が問題か

praison に 脆弱性 (CWE-20) があります。攻撃者は praisonai.rules.create を経由して脆弱な処理に到達し、認証なしで悪用できます。

📍 影響範囲

praison のうち。攻撃箇所: praisonai.rules.create / praisonai.rules.show / praisonai.rules.delete / praisonai.workflow.show。

🔥 重要度

重要度: 最重要 (CVSS 9.6/10)。悪用されるとシステム全体を乗っ取られる可能性があります

🔧 修正方法

ベンダー公式アドバイザリの修正版に更新してください。

🛡️ 暫定回避

修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。

🔍 検知方法

Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。

類似する過去の事例過去のCVE/インシデントから類似事例を抽出

CVE-2021-41773

This vulnerability involved an Apache HTTP server path traversal issue that also allowed for remote content exposure or execution.

CVE-2022-22965

Also known as Spring4Shell, a vulnerability enabling remote code execution via data binding in Spring Core.

CVE-2021-21972

An RCE vulnerability in VMware vCenter Server stemming from improper URL path handling, similar path traversal root causes.

もし自社で起きたら業務シナリオごとの想定影響

📌 E-commerce platform hosting

The platform could be compromised through unauthorized code executions, leading to data breaches and financial losses.

📌 Internal IT system management

Sensitive internal systems could be exposed to unauthorized access or manipulation, affecting data integrity and operational continuity.

📌 Machine Learning Model Management

AI models could be manipulated, affecting outcomes and decision-making processes critical to business operations.

推奨アクション

Urgently update PraisonAI to version 4.6.34 or later and monitor systems for signs of compromise.

対応アクション

SOC/SREチームが順番に実行すべき具体的なステップとコマンド例

1
影響範囲の特定 identify
```
grep -r 'praison' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で praison を grep し、稼働しているサービス・バージョンを把握する。
7
事後検証 verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 3 と同じログクエリでアラート再発が無いか継続監視。

影響パッケージ

pip PraisonAI

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.6.34"}]}]

PyPI praisonai