¿Qué es la vulnerabilidad CVE-2026-112346 en OpenHands Software Agent SDK?
¿Qué es la vulnerabilidad CVE-2026-112346 registrada en el OpenHands Software Agent SDK? Se trata de un fallo crítico de ejecución remota de código (RCE) no autenticado que afecta a las versiones anteriores a la 1.52.0 del SDK detalles de la vulnerabilidad crítica CVE-2026-110447 en Collabora Online dentro de Nextcloud. Este problema surge debido a una mala configuración en los lanzadores de espacios de trabajo DockerWorkspace y Apptainer.
Durante el funcionamiento predeterminado, el servidor del agente de sandbox se vincula a todas las interfaces de red disponibles (0.0.0.0) manteniendo una lista vacía de session_api_keys. Esto deshabilita por completo cualquier mecanismo de autenticación, permitiendo que cualquier actor externo con acceso a la red interactúe directamente con el sistema.
¿A quién afecta y qué riesgos conlleva este fallo crítico de RCE?
¿A quién afecta este fallo de seguridad catalogado con un CVSS de 9.8? El problema impacta directamente a todos los desarrolladores y entornos de infraestructura que utilicen las versiones del SDK anteriores a la 1.52.0 empleando contenedores Docker o Apptainer Analizamos la vulnerabilidad crítica CVE-2026-115905 con CVSS 10.0 en la librería zip de Rust.
Cualquier atacante que logre alcanzar el puerto publicado del contenedor puede enviar peticiones HTTP y WebSocket totalmente libres de autenticación. Esto posibilita la ejecución arbitraria de comandos de shell con privilegios de root dentro del sandbox, facilitando además el acceso al espacio de trabajo montado y la lectura de secretos almacenados en texto plano.
¿Cómo me protejo?
¿Cómo me protejo y mitigo esta brecha de seguridad en los entornos de producción? Los desarrolladores deben aplicar las directrices oficiales publicadas en el repositorio para asegurar los servicios afectados mediante el parche correspondiente Referencia técnica.
Para solucionar la incidencia de forma definitiva, es necesario seguir una serie de pasos de actualización y validación del entorno de contenedores.
- Actualiza el paquete OpenHands Software Agent SDK a la versión 1.52.0 o superior utilizando tu gestor de dependencias habitual.
- Verifica que el repositorio oficial incluya los cambios del parche en el commit correspondiente Referencia técnica.
- Revisa las notas oficiales de la versión para confirmar la resolución del problema Referencia técnica.
- Consulta los detalles adicionales en el aviso de seguridad de VulnCheck para validar configuraciones de red Referencia técnica.