Descripción
Archon desde la versión 0.2.13 hasta la 0.11.1 contiene una vulnerabilidad de falta de autenticación que permite a atacantes no autenticados acceder a la API de control /api/*, que por defecto se enlaza a 0.0.0.0. Los atacantes con acceso de red pueden enviar mensajes al agente de programación con IA, que se ejecuta con bypassPermissions, para ejecutar comandos en el host como el usuario de Archon.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- Archon Afectadas: 0.2.13 a 0.11.1
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso de hackmd.iohackmd.io/@hieuPenguinnn/archon-os-api-missing-authentication-default
- Referencia en github.comgithub.com/coleam00/Archon/blob/v0.11.1/packages/server/src/routes/ap…
- Referencia en github.comgithub.com/coleam00/Archon/blob/v0.11.1/packages/server/src/auth/conf…
- Referencia en github.comgithub.com/coleam00/Archon/blob/v0.11.1/packages/server/src/index.ts
- Referencia en github.comgithub.com/coleam00/Archon
- Aviso de vulncheck.comvulncheck.com/advisories/archon-0.2.13-through-0.11.1-missing-authent…
Ver el texto original en inglés (CVE.org)
Archon 0.2.13 through 0.11.1 Missing Authentication via /api/* Control API
Archon 0.2.13 through 0.11.1 contains a missing authentication vulnerability that allows unauthenticated attackers to access the /api/* control API, which binds to 0.0.0.0 by default. Attackers with network access can send messages to the AI coding agent, which runs with bypassPermissions, to execute commands on the host as the Archon user.