plaincve:~$

// 威脅簡報

CVE-2026-108263

Astron Agent 工作流程程式碼節點沒有沙箱:低權限租戶能以 root 執行程式並跨租戶存取資料

CVSS
9.9 CRITICAL
CISA KEV
未列入
弱點類型
CWE-95 · CWE-306 · CWE-653 · CWE-863 · CWE-1392
主題
AI 安全

PlainCVE 團隊 · 發布 2026-10-12 · 更新 2026-10-13 · AI 輔助 · 媒體簡報 ↓

AI 審稿 2026-10-13(未經人工)指令測試:未提供漏洞重現:未進行驗證紀錄 ↓

Astron Agent 1.1.2 以前預設在沒有沙箱的環境執行工作流程程式碼,低權限租戶可用 root 身分執行程式並存取其他租戶的資料。

誰會中使用 iflytek Astron Agent 1.1.2 之前(不含 1.1.2)版本(官方說法:v1.1.1(含)以前,且使用舊版無沙箱本機執行器)的組織。1.1.2 以前若沒有特別修改 CODE_EXEC_TYPE,預設就是這個執行器。單一租戶的部署也受影響。
後果擁有建立工作流程權限的已登入使用者,可在 core-workflow 容器內以 root 執行任意程式,再利用共用的服務與資料庫憑證繞過租戶檢查,讀取或修改其他租戶的資料,並干擾共用服務。
現在該做什麼把部署檔與所有服務映像檔一起升級到 v1.1.2;只更新原始碼或只更新 workflow 映像檔不算完整修補。我們查閱的資料中,沒有看到官方提供升級以外的暫時解法。
受影響版本1.1.2 之前(不含)(CVE 紀錄);官方:v1.1.1(含)以前,且使用舊版無沙箱本機執行器
修好的版本v1.1.2 以上(部署檔與所有服務映像檔需一併更新)
CVSS 向量
顯示完整向量CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
時間點
  • 首次公開 2026-09-07

藍隊應對手冊

確認、修補 / 緩解、應變、強化。版本符合受影響條件不等於已被入侵;檢查沒有結果也不等於安全,每一項都有能證明與不能證明的範圍。標記的步驟對應下方攻擊流程裡可以擋下攻擊的那一步。

DETECT確認我受影響嗎?有沒有入侵跡象?
  1. 01直接確認部署中的映像檔版本

    在哪裡執行:在執行 Astron Agent 的 Docker 主機上執行,需要有 docker 權限的帳號(只讀取、列出自己主機上的容器,不修改環境)。官方提醒:自動化弱點掃描工具可能抓不到這個應用程式層級的問題,應明確核對實際部署的映像檔版本。任何服務仍在 v1.1.1(含)以前的版本,就應視為受影響。

    唯讀查詢
    docker ps --format '{{.Names}}\t{{.Image}}'
  2. 02確認是否使用本機執行器

    在哪裡執行:在部署主機上,先進入 Astron Agent 的 docker/astronAgent 部署目錄再執行(只讀取檔案,不修改環境)。這行會搜尋目前目錄與所有子資料夾,涵蓋 .env、docker-compose.yaml 與 config/workflow/config.env(官方公告 GHSA-mh3w-4q3f-2fg5(該頁含攻擊程式,本站不連結)收錄的原始報告指出 1.1.1 在這個檔案設定 CODE_EXEC_TYPE=local)。1.1.2 以前,沒有設定 CODE_EXEC_TYPE 或設為 local,就是使用無沙箱的 LocalExecutor;所以查不到任何結果不代表安全,1.1.2 以前程式本身的預設值就是 local。

    唯讀查詢
    grep -rn 'CODE_EXEC_TYPE' .
    步驟 2步驟 3
MITIGATE修補 / 緩解先修補;還不能修補時先擋住
  1. 01完整升級到 v1.1.2

    部署檔與所有服務映像檔必須一起更新;只更新原始碼或只更新 workflow 映像檔不算完整修補。依我們查閱的資料,官方未列出升級以外的暫時解法;OpenCVE 列出的緩解措施看來是 AI 產生的,並非官方建議。

    步驟 2步驟 3步驟 4
  2. 02升級後移除 CODE_EXEC_TYPE=local

    官方:v1.1.2 起不再支援 local,請用預設的隔離執行器或受支援的遠端執行器(E2B 為選用)。

    步驟 2
RESPOND應變發現入侵跡象時
  1. 01輪替共用的服務與資料庫憑證

    PlainCVE 建議(非官方指引):若懷疑有人曾透過程式碼節點執行程式,因攻擊者可能取得共用憑證,升級後應輪替這些憑證並檢查跨租戶資料是否被修改。目前沒有來源確認此漏洞已遭實際利用。

    步驟 4
HARDEN強化長期避免同類問題
  1. 01保留 nginx 對內部 /workflow/v1 路徑的封鎖

    研究者指出內建 nginx 規則是唯一阻止這條內部路徑變成免認證對外入口的東西。PlainCVE 建議不要移除它,並留意可能連到 workflow 服務的 SSRF(伺服器端請求偽造)問題。

    步驟 2
  2. 02限制建立工作流程的權限

    PlainCVE 建議:攻擊需要建立工作流程的權限,只授予真正需要的帳號。

    步驟 1
完整修復步驟與說明
  1. 部署檔與所有服務映像檔一起升級到 v1.1.2,再在執行 Astron Agent 的 Docker 主機上(需要 docker 權限)用 docker ps --format '{{.Names}}\t{{.Image}}' 逐一核對。官方提醒自動化掃描工具可能抓不到這個問題。
  2. 升級後若設定檔仍有 CODE_EXEC_TYPE=local,要移除;改用預設的隔離執行器(LangChain/Pyodide)或受支援的遠端執行器,E2B 為選用。
  3. v1.1.2 也強化了內部 Workflow 與 Tenant 服務 API 的認證、租戶檢查、憑證處理與部署隔離。
  4. 依我們查閱的資料,官方未列出升級以外的暫時解法;OpenCVE 列出的緩解措施看來是 AI 產生的,並非官方建議。

攻擊流程

從左到右是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

由上到下是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

Astron Agent 工作流程程式碼節點沒有沙箱:低權限租戶能以 root 執行程式並跨租戶存取資料: 1. 以低權限租戶帳號登入,建立含程式碼節點的工作流程 → 2. 平台在預設設定下選用 LocalExecutor 執行程式碼 → 3. 程式碼在 core-workflow 容器內以 root 身分執行 → 4. 利用共用憑證繞過租戶檢查,讀寫其他租戶資料CVE-2026-108263 · Astron Agent 工作流程程式碼節點沒有沙箱:低權限租戶能以 root 執行程式並跨租戶存取資料攻擊者你的系統以低權限租戶帳號登入,建立含程式碼節點的工作流程 — 需要一個已登入的帳號,並且有建立工作流程的權限。不需要其他使用者配合。 1以低權限租戶帳號登入,建立含程式碼節點的工作流程平台在預設設定下選用 LocalExecutor 執行程式碼 — 執行程式碼節點時,只要沒有特別修改 CODE_EXEC_TYPE,就會用本機執行器。研究者另指出內部的 /workflow/v1 路徑本身不需要認證,內建的 nginx 設定是唯一擋住外部存取的東西。 2平台在預設設定下選用LocalExecutor 執行程式碼程式碼在 core-workflow 容器內以 root 身分執行 — LocalExecutor 把完整的 Python 內建功能交給動態執行的程式碼,沒有文件所說的沙箱限制。 3程式碼在core-workflow 容器內以 root 身分執行利用共用憑證繞過租戶檢查,讀寫其他租戶資料 — 容器內可取得共用的服務與資料庫憑證,讓應用程式層的租戶隔離失效,也可能干擾共用服務。 4利用共用憑證繞過租戶檢查,讀寫其他租戶資料攻擊路徑可在此擋下PlainCVE · plaincve.date/vulns/cve-2026-108263-astron-agent-code-node-rce · CC BY 4.0
Astron Agent 工作流程程式碼節點沒有沙箱:低權限租戶能以 root 執行程式並跨租戶存取資料: 1. 以低權限租戶帳號登入,建立含程式碼節點的工作流程 → 2. 平台在預設設定下選用 LocalExecutor 執行程式碼 → 3. 程式碼在 core-workflow 容器內以 root 身分執行 → 4. 利用共用憑證繞過租戶檢查,讀寫其他租戶資料CVE-2026-108263 · Astron Agent 工作流程程式碼節點沒有沙箱:低權限租戶能以 root 執行程式並跨租戶存取資料以低權限租戶帳號登入,建立含程式碼節點的工作流程 — 需要一個已登入的帳號,並且有建立工作流程的權限。不需要其他使用者配合。 1攻擊者以低權限租戶帳號登入,建立含程式碼節點的工作流程平台在預設設定下選用 LocalExecutor 執行程式碼 — 執行程式碼節點時,只要沒有特別修改 CODE_EXEC_TYPE,就會用本機執行器。研究者另指出內部的 /workflow/v1 路徑本身不需要認證,內建的 nginx 設定是唯一擋住外部存取的東西。 2你的系統平台在預設設定下選用LocalExecutor 執行程式碼程式碼在 core-workflow 容器內以 root 身分執行 — LocalExecutor 把完整的 Python 內建功能交給動態執行的程式碼,沒有文件所說的沙箱限制。 3你的系統程式碼在 core-workflow 容器內以root 身分執行利用共用憑證繞過租戶檢查,讀寫其他租戶資料 — 容器內可取得共用的服務與資料庫憑證,讓應用程式層的租戶隔離失效,也可能干擾共用服務。 4攻擊者利用共用憑證繞過租戶檢查,讀寫其他租戶資料攻擊路徑可在此擋下PlainCVE · CC BY 4.0plaincve.date/vulns/cve-2026-108263-astron-agent-code-node-rce
圖片可自由用於報導與教學,採 CC BY 4.0,圖上已附出處。
  1. 攻擊者

    以低權限租戶帳號登入,建立含程式碼節點的工作流程

    需要一個已登入的帳號,並且有建立工作流程的權限。不需要其他使用者配合。

    防禦: PlainCVE 建議:只把建立工作流程的權限給需要的人(這會縮小可攻擊的帳號範圍,但不能取代升級)。

  2. 你的系統

    平台在預設設定下選用 LocalExecutor 執行程式碼

    執行程式碼節點時,只要沒有特別修改 CODE_EXEC_TYPE,就會用本機執行器。研究者另指出內部的 /workflow/v1 路徑本身不需要認證,內建的 nginx 設定是唯一擋住外部存取的東西。

    防禦: 升級到 v1.1.2:預設改用隔離的 LangChain/Pyodide 執行器,且不再支援 CODE_EXEC_TYPE=local。

  3. 你的系統

    程式碼在 core-workflow 容器內以 root 身分執行

    LocalExecutor 把完整的 Python 內建功能交給動態執行的程式碼,沒有文件所說的沙箱限制。

    防禦: v1.1.2 會拒絕不安全的本機程式碼執行。

  4. 攻擊者

    利用共用憑證繞過租戶檢查,讀寫其他租戶資料

    容器內可取得共用的服務與資料庫憑證,讓應用程式層的租戶隔離失效,也可能干擾共用服務。

    防禦: v1.1.2 同時強化內部 Workflow 與 Tenant 服務 API 的認證、租戶檢查、憑證處理與部署隔離。

影響範圍

條件是否受影響
Astron Agent 1.1.2 以前,且 CODE_EXEC_TYPE 未修改(預設)或設為 local受影響
上述版本,單一租戶部署仍有程式碼執行風險(官方說明)
已升級到 v1.1.2,且部署檔與所有服務映像檔都已更新已修補
只更新了原始碼或只更新 workflow 映像檔官方說明這不算完整修補

CVE 紀錄寫「1.1.2 之前(不含)」;官方發布說明寫「v1.1.1(含)以前、且使用舊版無沙箱本機執行器時」。兩者不衝突,官方只是多加了設定條件,而 1.1.2 以前這個執行器就是預設值。

攻擊者需要一個已登入的低權限租戶帳號(租戶指共用系統中各自獨立的客戶或團隊空間),官方另指出需要建立工作流程的權限。

原理

Astron Agent 讓使用者在工作流程裡放「程式碼節點」,自己寫一段 Python 來處理資料。文件說這些程式碼會在沙箱(受限的執行環境)裡跑。但 1.1.2 以前,只要沒有特別設定 CODE_EXEC_TYPE,平台就選用 LocalExecutor,它把完整的 Python 內建功能直接交給使用者的程式碼,沒有文件所說的沙箱限制。

結果是程式碼在 core-workflow 容器內以 root 執行。容器裡有多個租戶共用的服務與資料庫憑證,拿到它們就能繞過應用程式層的租戶檢查,讀取或修改別的租戶的資料,也能干擾共用服務。

研究者的原始報告(收錄在官方公告 GHSA-mh3w-4q3f-2fg5 中;該頁含攻擊程式,本站不連結)還指出:內部的 /workflow/v1 執行路徑本身不需要認證,內建的 nginx 設定會對外回傳 404 擋住它。所以只有在部署網路內部、或透過能連到 workflow 服務的 SSRF(讓伺服器代為發出請求的漏洞)時,才能免帳號使用。

有問題的思路(概念示意,不是原始程式碼):

展開程式碼範例(python)
# 在平台自己的行程內直接執行使用者程式碼,擁有全部內建功能
exec(user_code, {"__builtins__": FULL_BUILTINS})

修好的思路:

展開程式碼範例(python)
if exec_type == "local":
    raise UnsupportedExecutor()  # 不再允許本機執行
isolated_executor.run(user_code)  # 交給隔離的執行器

對應弱點:CWE-95(eval 注入)、CWE-306(關鍵功能缺少認證)、CWE-653(隔離不當)、CWE-863(授權錯誤)、CWE-1392(使用預設憑證)。

時間軸

日期事件
2026-07-17研究者完成第一次已認證的端到端測試(在自己的環境)
2026-08-28修補 PR #1650 經 PR #1651 合併進 main(commit 848daba)
2026-09-07維護者公開安全公告 GHSA-mh3w-4q3f-2fg5(首次公開;該頁含攻擊程式,本站不連結);同日釋出 v1.1.2 安全更新,發布說明寫明公告已公開,當時 CVE 仍在申請中
2026-10-09CVE 紀錄公開
2026-10-12未列入 CISA KEV

延伸閱讀

  • 評分:CNA(GitHub)給 CVSS 3.1 9.9(嚴重);資料中沒有 NVD 自己的評分。
  • 利用狀況:截至 2026-10-12 未列入 CISA KEV;沒有來源說明是否已遭實際利用或零日利用。vuln.today 寫分析時沒有找到公開攻擊程式,但 2026-09-07 公開的維護者公告(GHSA-mh3w-4q3f-2fg5)收錄的研究者原始報告含攻擊示範(PoC)(該頁含攻擊程式,本站不連結)。研究者表示測試只在自己的部署用無害測試資料進行,沒有碰任何 iflytek 或第三方系統。
  • OpenCVE 顯示 EPSS 為 0.00432,但同頁的 AI 分析又說 EPSS 無法取得、且「許多環境仍未修補」,這段分析自相矛盾,也沒有佐證。
  • OSV 的版本範圍從「0」開始,PlainCVE 的判斷是這只代表沒有找出起始版本,引入漏洞的版本不明。
  • 首次公開日依維護者公告 GHSA-mh3w-4q3f-2fg5(該頁含攻擊程式,本站不連結)標示的 2026-09-07(同日的 v1.1.2 發布說明也寫明公告已公開)(比 CVE 紀錄的 2026-10-09 早)。修補內容(release commit 189600dd691e8562bd0b9f7112727b107b8a2e10)在 CVE 公開前約一個月就已釋出。
  • 回報者:Noy Pearl 與 Lasso Security 團隊。

驗證紀錄 AI 依審稿規則逐項核對來源,全部通過;未經人工審稿,也尚未在我們的環境重現

AI 審稿2026-10-13 · 審稿規則

驗證紀錄只寫環境與結果,不公開重現步驟或可攻擊他人系統的程式。詳見 政策.

來源

  1. 安全公告CVE-2026-108263 record (CVE API) · CVE Program, 2026-10-09 · 查閱 2026-10-12
  2. 修補 commit / 版本astron-agent v1.1.2 release · iflytek (GitHub) · 查閱 2026-10-12
  3. 修補 commit / 版本astron-agent PR #1651 · iflytek (GitHub), 2026-08-28 · 查閱 2026-10-12
  4. 其他OSV - CVE-2026-108263 · OSV · 查閱 2026-10-12
  5. 其他OpenCVE - CVE-2026-108263 · OpenCVE · 查閱 2026-10-12
  6. 其他astron-agent tag · vuln.today · 查閱 2026-10-12

媒體簡報

一句話

Astron Agent 是 iflytek 開源的 AI 代理工作流程平台。1.1.2 以前的版本預設在沒有沙箱的環境執行使用者寫的程式碼,讓已登入、且有建立工作流程權限的低權限使用者,可以在伺服器容器內以 root 身分執行程式,進而讀取或修改其他租戶的資料。漏洞由 Noy Pearl 與 Lasso Security 團隊回報,CVSS 評分 9.9,修補版 v1.1.2 已釋出。截至 2026-10-12,它未列入美國 CISA 已知遭利用漏洞清單。

關鍵數字

嚴重度
CVSS 3.1 9.9(CNA:GitHub) cveawg.mitre.org
修補版本
v1.1.2 github.com
首次公開(維護者公告 GHSA-mh3w-4q3f-2fg5 公開;依 v1.1.2 發布說明)
2026-09-07 github.com
CVE 公開
2026-10-09 cveawg.mitre.org
安全公告編號(該頁含攻擊程式,本站不連結;編號見 CVE 紀錄)
GHSA-mh3w-4q3f-2fg5 cveawg.mitre.org
回報者
Noy Pearl 與 Lasso Security 團隊 github.com

已確認

  • 1.1.2 以前預設使用無沙箱的 LocalExecutor,低權限租戶可在 core-workflow 容器內以 root 執行程式。
  • 攻擊者可利用共用憑證繞過租戶檢查,讀寫其他租戶資料。
  • 官方已在 v1.1.2 修補,並要求部署檔與所有映像檔一起更新。
  • 截至 2026-10-12 未列入 CISA KEV。
  • 維護者公告 GHSA-mh3w-4q3f-2fg5(2026-09-07 公開)收錄的研究者原始報告含攻擊示範(PoC)(該頁含攻擊程式,本站不連結)。

尚未確認 / 說法不一

  • 沒有來源說明此漏洞是否已遭實際利用,或是否曾在修補前被利用。
  • OpenCVE 的 AI 分析稱「許多環境仍未修補」且 EPSS「無法取得」,但同頁顯示 EPSS 為 0.00432,說法自相矛盾且無佐證。
  • 引入漏洞的版本不明。

可引用的一句話

文件說程式碼會關在沙箱裡,實際上預設設定根本沒有沙箱。

圖片

下載分享圖(PNG) · 攻擊流程圖(可下載)

引用時請標示「PlainCVE」並附上本頁連結。 完整引用格式見下方「如何引用本頁」。有事實錯誤請回報.

如何引用本頁

本文採 CC BY 4.0,轉載請保留署名與連結。

PlainCVE 團隊(2026)。《Astron Agent 工作流程程式碼節點沒有沙箱:低權限租戶能以 root 執行程式並跨租戶存取資料》。PlainCVE。https://plaincve.date/vulns/cve-2026-108263-astron-agent-code-node-rce(查閱日期:YYYY-MM-DD)
BibTeX
@misc{cve2026108263astronagentcodenoderce2026,
  title  = {Astron Agent 工作流程程式碼節點沒有沙箱:低權限租戶能以 root 執行程式並跨租戶存取資料},
  author = {PlainCVE 團隊},
  year   = {2026},
  howpublished = {PlainCVE},
  url    = {https://plaincve.date/vulns/cve-2026-108263-astron-agent-code-node-rce},
  note   = {更新於 2026-10-13}
}