Descripción
OpenHuman es un entorno de agentes de código abierto disponible como aplicación de escritorio y biblioteca de Rust. En versiones anteriores a la 0.57.13, un mensaje directo remoto recibido a través de un canal Yuanbao configurado se convierte en un AgentTurnRequest de canal genérico que utiliza la política de herramientas predeterminada sin establecer un contexto de aprobación interactivo. Con la política de autonomía Supervised predeterminada y Node habilitado, node_exec se clasifica como una operación de escritura que debería solicitar aprobación, pero ApprovalGate trata la ausencia de APPROVAL_CHAT_CONTEXT como un turno no interactivo y permite la ejecución. Dado que los mensajes directos de Yuanbao están abiertos por defecto, un remitente externo que pueda enviar mensajes al bot conectado puede inducir al agente a ejecutar JavaScript y comandos del sistema operativo como el usuario de OpenHuman sin una solicitud de aprobación. El problema requiere un canal Yuanbao configurado, el estado predeterminado de la política que exige aprobación, disponibilidad de Node y que el modelo seleccione node_exec. Este problema está corregido en la versión 0.57.13.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- openhuman Afectadas: < 0.57.13
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/tinyhumansai/openhuman/security/advisories/GHSA-gg3m-wgmq-…
- Referencia en github.comgithub.com/tinyhumansai/openhuman/pull/3227
- Referencia en github.comgithub.com/tinyhumansai/openhuman/commit/3a7180da7765af861bf44d79e025…
- Referencia en github.comgithub.com/tinyhumansai/openhuman/releases/tag/v0.57.13
Ver el texto original en inglés (CVE.org)
OpenHuman: Yuanbao non-web channel can bypass human approval to execute `node_exec`
OpenHuman is an open-source agent harness available as a desktop application and Rust library. Before 0.57.13, a remote direct message received through a configured Yuanbao channel is converted into a generic channel AgentTurnRequest that uses the default tool policy without establishing an interactive approval context. Under the default Supervised autonomy policy with Node enabled, node_exec is classified as a write operation that should prompt for approval, but ApprovalGate treats missing APPROVAL_CHAT_CONTEXT as a non-interactive turn and allows execution. Because Yuanbao direct messages are open by default, an external sender who can message the connected bot can influence the agent to execute JavaScript and operating-system commands as the OpenHuman user without an approval prompt. The issue requires a configured Yuanbao channel, the default approval-requiring policy state, Node availability, and successful model selection of node_exec. This issue is fixed in version 0.57.13.