OpenHands Software Agent SDK のサンドボックスが認証なしで外部公開されコード実行（CVE-2026-112346、CVSS v3.1 9.8）: 1.52.0 で修正

World Security 編集部2026年11月2日公開

目次（6）

要点

DockerWorkspace・Apptainer のサンドボックスが 0.0.0.0 で待ち受け、セッション API キーが空のため既定で認証なしになり、到達できれば誰でもコマンドを実行できる
影響版は 1.52.0 より前。CVSS v3.1 は 9.8（AV:N／PR:N／UI:N、C:H／I:H／A:H）、v4.0 は 9.3（登録元の値）。NVD は Awaiting Analysis で独自評価なし
修正版は 1.52.0（NVD の影響版範囲）。Docker のポートをループバックに限る Pull Request #5209 は 10/3 にマージ済みだが、修正コミットの 1.52.0 への収録は確認済みで、Apptainer 側の修正は未確認
実行されるのはサンドボックス内の root 権限のコマンドで、マウントされたワークスペースと平文のシークレットが読まれ得る。悪用は未確認、KEV なし、EPSS 約 1.0%
外部到達の遮断、マウントの見直し、秘密情報の再発行の検討、ログ確認は推定

CVE-2026-112346

NVD は 2026-10-26 に、AI エージェント開発キット「OpenHands Software Agent SDK」の脆弱性 CVE-2026-112346 を登録しました。登録元は VulnCheck です。DockerWorkspace と Apptainer の各ワークスペース起動機能が、サンドボックス内のエージェントサーバーをすべてのネットワークインターフェース（0.0.0.0）で待ち受けさせ、しかもセッション用の API キー一覧（session_api_keys）が空のため、既定で認証が無効になる問題です。公開されたコンテナのポートに到達できる攻撃者は、認証なしの HTTP・WebSocket リクエストで、サンドボックス内の root 権限のシェルコマンドを実行し、マウントされたワークスペースにアクセスし、シークレットストアの平文の秘密情報を読み取れるとされています。影響を受けるのは 1.52.0 より前の版です。CVSS v3.1 は 9.8（AV:N／AC:L／PR:N／UI:N、機密性・完全性・可用性がいずれも「高」）、修正版は 1.52.0 です。

何が起きるか

対象は OpenHands Software Agent SDK の 1.52.0 より前の版で、DockerWorkspace または Apptainer のワークスペースでサンドボックスを起動する構成です。
登録元の説明では、サンドボックスのエージェントサーバーが 0.0.0.0 で待ち受け、session_api_keys が空のため認証が効きません。到達できる相手なら、利用者の操作なしに攻撃できます（PR:N／UI:N）。
実行できるのはサンドボックス内の root 権限のコマンドです。ただし、ワークスペースがホストのディレクトリをマウントしている場合は、そのファイルの読み書きに及びます。シークレットストアに入れた API キーなどの平文も読み取られ得ます。
「到達できる」範囲は、ポートが公開されるホストのネットワーク設定によります。開発用の端末や共有サーバー、クラウド上のホストで、ファイアウォールの外に公開されていると影響が大きくなります（推定）。

修正の状況

NVD の影響版範囲は「1.52.0 より前」です。開発元のリリース v1.52.0 は 2026-10-05 に公開されています。
参照先の Pull Request #5209「fix(workspace): publish Docker ports on loopback」は、2026-10-03 にマージ済みでした。DockerWorkspace の API ポートと任意の VS Code ポートを、ホストのすべてのインターフェースではなくループバック（127.0.0.1）に公開する変更で、設定したセッション API キーをクライアント側にも引き継ぐ変更と、その回帰テストを含みます。
修正コミット（7b66584）が v1.52.0 に含まれていることは、GitHub 上の比較で確認しました（このコミットは v1.52.0 の祖先です）。
この修正コミットが変更したのは Docker 用のワークスペースとそのテストだけで、Apptainer 用のファイルは含まれていません。Apptainer のワークスペースが 1.52.0 で修正されているかは確認できていません。

数値と出典（2026-11-02 時点）

CVE	製品	影響版	種類	認証	CVSS v3.1	CVSS v4.0	CWE	EPSS
CVE-2026-112346	OpenHands Software Agent SDK	1.52.0 より前	認証なしのコード実行（既定で認証無効・全インターフェースで待ち受け）	不要	9.8	9.3	CWE-1327	1.0%（パーセンタイル 63.3、2026-11-01 付）

NVD の状態は Awaiting Analysis で、NVD 自身の評価はまだありません。CVSS は登録元（CNA）の値で、v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H（9.8）、v4.0 は 9.3 です。
EPSS（FIRST）は 2026-11-01 付で 0.01014（約 1.0%）、パーセンタイルは 63.3 です。
KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、カタログ 2026.10.30 版・1766 件）。

severity を high とした理由

認証なしでネットワークから攻撃でき、CVSS が 9.8 と高いことを重く見ました。一方で、攻撃が成り立つのは、サンドボックスのポートが外部から到達できる状態のときに限られます。コード実行の範囲は原則としてサンドボックス内で、実際の攻撃での悪用は確認しておらず、KEV にも載っておらず、EPSS も 1.0% と低めです。修正版も出ているため、critical ではなく high を提案します。公開範囲によって影響が大きく変わるため、critical とする見方もあります。

対応として考えられること

自組織で OpenHands Software Agent SDK を使っているか、DockerWorkspace または Apptainer のワークスペースを使う自動化がないかを確認します。
版が 1.52.0 より前に当たる場合は、1.52.0 以降へ更新します。更新後に版数を再確認します。
更新までの間は、サンドボックスのコンテナのポートがホストの外部インターフェースで公開されていないかを確認し、ファイアウォールやセキュリティグループで外部からの到達を遮断します（推定）。
サンドボックスに、ホストの重要なディレクトリや本番用の秘密情報をマウント・保存しない構成にします。すでに外部から到達できた疑いがある場合は、シークレットストアに入れていた API キーなどの再発行を検討します（推定）。
公開されていた期間のコンテナやホストのログに、想定外の接続元からの要求がないかを確認します（推定）。

未確認の点

実際の攻撃での悪用は確認していません。KEV には未掲載です。
Apptainer のワークスペースが 1.52.0 で修正されているかは確認できていません（修正コミットは Docker 用のファイルだけを変更しています）。
VulnCheck の勧告本文と、修正コミットの全体の内容は確認していません。
インターネットに公開されている該当サンドボックスの数や、利用者の規模は確認していません。
NVD 自身の評価は未実施（Awaiting Analysis）です。CVSS は登録元の値です。