--- title: "OpenHands Software Agent SDK のサンドボックスが認証なしで外部公開されコード実行（CVE-2026-112346、CVSS v3.1 9.8）: 1.52.0 で修正" url: https://n-t-p.io/worldsecurity/articles/openhands-software-agent-sdk-unauthenticated-sandbox-agent-server-rce-before-1-52-0-cve-2026-112346 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-112346 --- # OpenHands Software Agent SDK のサンドボックスが認証なしで外部公開されコード実行（CVE-2026-112346、CVSS v3.1 9.8）: 1.52.0 で修正 > **TL;DR:** AI エージェント開発キット OpenHands Software Agent SDK の DockerWorkspace・Apptainer ワークスペースで、サンドボックスのエージェントサーバーが 0.0.0.0 で待ち受け、session_api_keys が空のため既定で認証が無効になり、ポートに到達できる攻撃者が認証なしでサンドボックス内の root 権限のコマンドを実行し、シークレットを読み取れる可能性がある（CVE-2026-112346）。影響版は 1.52.0 より前、修正版は 1.52.0。CVSS v3.1 9.8、EPSS 約 1.0%。KEV なし。 **要点** - DockerWorkspace・Apptainer のサンドボックスが 0.0.0.0 で待ち受け、セッション API キーが空のため既定で認証なしになり、到達できれば誰でもコマンドを実行できる - 影響版は 1.52.0 より前。CVSS v3.1 は 9.8（AV:N／PR:N／UI:N、C:H／I:H／A:H）、v4.0 は 9.3（登録元の値）。NVD は Awaiting Analysis で独自評価なし - 修正版は 1.52.0（NVD の影響版範囲）。Docker のポートをループバックに限る Pull Request #5209 は 10/3 にマージ済みだが、修正コミットの 1.52.0 への収録は確認済みで、Apptainer 側の修正は未確認 - 実行されるのはサンドボックス内の root 権限のコマンドで、マウントされたワークスペースと平文のシークレットが読まれ得る。悪用は未確認、KEV なし、EPSS 約 1.0% - 外部到達の遮断、マウントの見直し、秘密情報の再発行の検討、ログ確認は推定 NVD は 2026-10-26 に、AI エージェント開発キット「OpenHands Software Agent SDK」の脆弱性 CVE-2026-112346 を登録しました。登録元は VulnCheck です。DockerWorkspace と Apptainer の各ワークスペース起動機能が、サンドボックス内のエージェントサーバーをすべてのネットワークインターフェース（0.0.0.0）で待ち受けさせ、しかもセッション用の API キー一覧（session_api_keys）が空のため、既定で認証が無効になる問題です。公開されたコンテナのポートに到達できる攻撃者は、認証なしの HTTP・WebSocket リクエストで、サンドボックス内の root 権限のシェルコマンドを実行し、マウントされたワークスペースにアクセスし、シークレットストアの平文の秘密情報を読み取れるとされています。影響を受けるのは 1.52.0 より前の版です。CVSS v3.1 は 9.8（AV:N／AC:L／PR:N／UI:N、機密性・完全性・可用性がいずれも「高」）、修正版は 1.52.0 です。 ## 何が起きるか - 対象は OpenHands Software Agent SDK の 1.52.0 より前の版で、DockerWorkspace または Apptainer のワークスペースでサンドボックスを起動する構成です。 - 登録元の説明では、サンドボックスのエージェントサーバーが 0.0.0.0 で待ち受け、session_api_keys が空のため認証が効きません。到達できる相手なら、利用者の操作なしに攻撃できます（PR:N／UI:N）。 - 実行できるのはサンドボックス内の root 権限のコマンドです。ただし、ワークスペースがホストのディレクトリをマウントしている場合は、そのファイルの読み書きに及びます。シークレットストアに入れた API キーなどの平文も読み取られ得ます。 - 「到達できる」範囲は、ポートが公開されるホストのネットワーク設定によります。開発用の端末や共有サーバー、クラウド上のホストで、ファイアウォールの外に公開されていると影響が大きくなります（推定）。 ## 修正の状況 - NVD の影響版範囲は「1.52.0 より前」です。開発元のリリース v1.52.0 は 2026-10-05 に公開されています。 - 参照先の Pull Request #5209「fix(workspace): publish Docker ports on loopback」は、2026-10-03 にマージ済みでした。DockerWorkspace の API ポートと任意の VS Code ポートを、ホストのすべてのインターフェースではなくループバック（127.0.0.1）に公開する変更で、設定したセッション API キーをクライアント側にも引き継ぐ変更と、その回帰テストを含みます。 - 修正コミット（7b66584）が v1.52.0 に含まれていることは、GitHub 上の比較で確認しました（このコミットは v1.52.0 の祖先です）。 - この修正コミットが変更したのは Docker 用のワークスペースとそのテストだけで、Apptainer 用のファイルは含まれていません。Apptainer のワークスペースが 1.52.0 で修正されているかは確認できていません。 ## 数値と出典（2026-11-02 時点） | CVE | 製品 | 影響版 | 種類 | 認証 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS | |---|---|---|---|---|---|---|---|---| | CVE-2026-112346 | OpenHands Software Agent SDK | 1.52.0 より前 | 認証なしのコード実行（既定で認証無効・全インターフェースで待ち受け） | 不要 | 9.8 | 9.3 | CWE-1327 | 1.0%（パーセンタイル 63.3、2026-11-01 付） | - NVD の状態は Awaiting Analysis で、NVD 自身の評価はまだありません。CVSS は登録元（CNA）の値で、v3.1 のベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H（9.8）、v4.0 は 9.3 です。 - EPSS（FIRST）は 2026-11-01 付で 0.01014（約 1.0%）、パーセンタイルは 63.3 です。 - KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、カタログ 2026.10.30 版・1766 件）。 ## severity を high とした理由 認証なしでネットワークから攻撃でき、CVSS が 9.8 と高いことを重く見ました。一方で、攻撃が成り立つのは、サンドボックスのポートが外部から到達できる状態のときに限られます。コード実行の範囲は原則としてサンドボックス内で、実際の攻撃での悪用は確認しておらず、KEV にも載っておらず、EPSS も 1.0% と低めです。修正版も出ているため、critical ではなく high を提案します。公開範囲によって影響が大きく変わるため、critical とする見方もあります。 ## 対応として考えられること 1. 自組織で OpenHands Software Agent SDK を使っているか、DockerWorkspace または Apptainer のワークスペースを使う自動化がないかを確認します。 2. 版が 1.52.0 より前に当たる場合は、1.52.0 以降へ更新します。更新後に版数を再確認します。 3. 更新までの間は、サンドボックスのコンテナのポートがホストの外部インターフェースで公開されていないかを確認し、ファイアウォールやセキュリティグループで外部からの到達を遮断します（推定）。 4. サンドボックスに、ホストの重要なディレクトリや本番用の秘密情報をマウント・保存しない構成にします。すでに外部から到達できた疑いがある場合は、シークレットストアに入れていた API キーなどの再発行を検討します（推定）。 5. 公開されていた期間のコンテナやホストのログに、想定外の接続元からの要求がないかを確認します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。KEV には未掲載です。 - Apptainer のワークスペースが 1.52.0 で修正されているかは確認できていません（修正コミットは Docker 用のファイルだけを変更しています）。 - VulnCheck の勧告本文と、修正コミットの全体の内容は確認していません。 - インターネットに公開されている該当サンドボックスの数や、利用者の規模は確認していません。 - NVD 自身の評価は未実施（Awaiting Analysis）です。CVSS は登録元の値です。 ## 出典 - [NVD CVE-2026-112346](https://nvd.nist.gov/vuln/detail/CVE-2026-112346) — NIST NVD - [開発元 GitHub Pull Request #5209](https://github.com/OpenHands/software-agent-sdk/pull/5209) — GitHub - [開発元 GitHub リリース v1.52.0](https://github.com/OpenHands/software-agent-sdk/releases/tag/v1.52.0) — GitHub - [開発元 修正コミット 7b66584](https://github.com/OpenHands/software-agent-sdk/commit/7b66584ff8899144eb4ce679c2811861342af9de) — GitHub - [VulnCheck 勧告](https://www.vulncheck.com/advisories/openhands-software-agent-sdk-unauthenticated-sandbox-agent-server-rce) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-112346) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/openhands-software-agent-sdk-unauthenticated-sandbox-agent-server-rce-before-1-52-0-cve-2026-112346