CVE-2026–2256 PoC

エグゼクティブサマリー

MS-Agent フレームワーク バージョン 1.5.2 の Shell ツールコンポーネントにおいて、重大なコマンドインジェクションの脆弱性（CVE-2026–2256、CVSS X.X）が特定されました。この脆弱性は、シェル実行コンテキストに直接渡されるユーザーの影響を受ける入力のサニタイズが不適切であることに起因し、意図しないコマンド評価を可能にします。 攻撃者は、直接的なシェルアクセスや明示的なオペレーターの誤用を必要とせずに、プロンプト、ドキュメント、ログ、調査入力などのエージェントが消費するデータソースに細工したコンテンツを注入することで、この欠陥を悪用できます。その結果、エージェントの通常の実行フローの中で、ホストシステム上の MS-Agent プロセスの権限で任意のコマンドが実行され、ホスト全体の侵害につながる可能性があります。

• 脆弱性の詳細:

技術的詳細

• 影響を受けるベンダー: ModelScope
• 影響を受ける製品: MS-Agent
• 影響を受けるバージョン: 1.5.2
• 脆弱なコンポーネント: Shell ツール
• 場所: ms_agent/tools/shell/shell.py

Shell ツールは、エージェントがホスト上でオペレーティングシステムのコマンドを実行できるようにする MS-Agent の内部コンポーネントです。これは、コマンド実行を基盤となる OS に委任することで、ファイル管理、ディレクトリトラバーサル、自動化タスクなどのエージェントワークフローをサポートすることを目的としています。

概念実証（安全なコマンド実行の再現コード）

この PoC が示すもの

この簡略化された PoC は、ms-agent の Shell ツールにおける check_safe() 関数が Python を使用したリバースシェルの確立のためにバイパスされる方法を示しています。

前提条件

• Python 3
• nc（netcat）

ステップバイステップのテスト手順

ステップ 1: 最初の実行（バイパスの確認）

PoC を実行して、コマンドがセキュリティチェックをバイパスすることを確認します。 期待される出力: ✓ バイパス成功 - コマンドはすべてのセキュリティチェックを通過します

ステップ 2: リスナーのセットアップ（新しいターミナルウィンドウ）

新しいターミナルウィンドウを開き、以下を実行します:

nc -l 1111

これにより、ポート 1111 でリスナーが起動します。このターミナルは開いたまま待機状態にしておきます。

ステップ 3: リバースシェルの実行（元のターミナル）

元のターミナルで、以下を実行します:

./reverse_shell_poc.py --execute

プロンプトが表示されたら、yes と入力して Enter キーを押します。

ステップ 4: 接続の確認

netcat リスナーがあるターミナル（ステップ 2）に切り替えます。シェルプロンプトが表示されているはずです！

次のようなコマンドを試してください:

• whoami - ユーザー名を確認
• pwd - 現在のディレクトリを確認
• ls - ファイルを一覧表示
• exit - 接続を閉じる

何が起きているのか？

1. バイパス手法: python3 を使用して任意のコードを実行
2. 機能する理由: python3 はブロックされたコマンドリストに含まれていません
3. セキュリティへの影響: セキュリティチェックにもかかわらず完全なコマンド実行が可能

脆弱性

check_safe() 関数は次のようなコマンドをブロックします:

• sudo、rm -rf /、chmod、curl | bash など

しかし、以下はブロックしません:

• python3（任意のコード実行）
• nc（netcat - ネットワーク接続）
• perl、ruby、node（その他のインタープリター）

主要な発見

これは重大な脆弱性を示しています:

• ✗ 危険なコマンドのブロックリストが不完全
• ✗ Python は任意のコードを実行可能
• ✗ すべてのセキュリティチェックをバイパス可能
• ✗ 完全なリバースシェルアクセスを達成

クリーンアップ

テスト後、テストディレクトリを削除できます:

rm -rf /tmp/test_output

注意

これはローカルホスト限定のデモンストレーションです（127.0.0.1 に接続）。この PoC は、悪用リスクを低減するために意図的にリモート接続を回避しています。