Kaj se je zgodilo
V Strands Agents SDK, odprtokodnem ogrodju za gradnjo in zagon AI agentov, dostopnem za Python (strands-agents) in TypeScript (@strands-agents/sdk), je bila odkrita ranljivost CVE-2026-115419 (GHSA-4v6f-7vjh-6x4m). Težava se nahaja v komponenti strežnika Agent2Agent (A2A), ki v določenih okoliščinah ni pravilno ločevala stanja pogovora med različnimi klicatelji.
Po navedbah GitHub Security Advisories in CVEFeed lahko avtenticiran oddaljen uporabnik z uporabo drugačnega parametra context_id prek HTTP zahtev na A2A končno točko prebere zgodovino pogovora drugega najemnika (tenant) in vanj doda trajna navodila, ki spremenijo obnašanje modela za naslednje klicatelje. Gre za napako razvrščeno kot CWE-488 (nenamerno razkritje podatkovnega elementa napačni seji). Težava prizadene vsako namestitev, kjer je A2A strežnik dosegljiv več kot enemu uporabniku ali najemniku.
Prizadete so vse različice strands-agents (Python), ki vsebujejo modul multiagent.a2a, pred 1.43.0, ter vse različice @strands-agents/sdk (TypeScript) pred 1.5.0.
NVD je ranljivosti dodelil osnovno CVSS 4.0 oceno 8,6, kar pomeni visoko stopnjo resnosti. Isti vir navaja tudi sekundarno CVSS 3.1 oceno 8,1, prav tako visoko. Ranljivost v katalogu CISA KEV ni uvrščena, javno dostopnega PoC ali potrjenih podatkov o dejanskem izkoriščanju ranljivosti ni med dejstvi.
Kaj to pomeni za slovenska in evropska podjetja
Ogrodja za AI agente, kakršno je Strands Agents SDK, podjetja vse pogosteje uporabljajo za gradnjo večnajemniških (multi-tenant) storitev, kjer isti A2A strežnik streže zahtevam več strank ali oddelkov hkrati. V takih okoljih bi nepravilna izolacija sej lahko pomenila, da en uporabnik prebere pogovore drugega ali vpliva na odzive modela, ki jih prejmejo drugi klicatelji. Za organizacije, ki gradijo agentske storitve s to SDK knjižnico in jih izpostavljajo zunanjim ali notranjim uporabnikom z ločenimi context_id vrednostmi, je tveganje neposredno povezano z zaupnostjo podatkov in zanesljivostjo odzivov modela.
Priporočeni ukrepi
- Nadgradite na strands-agents različico 1.43.0 (Python) oziroma @strands-agents/sdk različico 1.5.0 (TypeScript), kjer je A2A strežnik po navedbah proizvajalca popravljen tako, da uporablja tovarno agentov (agent factory) in izolira stanje pogovora po posameznem context_id.
- Preverite, ali vaša namestitev A2A strežnika obsega module multiagent.a2a in ali je dostopna več kot enemu uporabniku ali najemniku.
- Po nadgradnji preverite dnevnike oziroma zgodovino sej za morebitne nepravilnosti, če je bil strežnik v preteklosti dostopen več strankam hkrati.
Vprašanja in odgovori
Ali je ranljivost na seznamu CISA KEV? Ne, glede na razpoložljive podatke ranljivost ni uvrščena v katalog CISA KEV, prav tako ni podatkov o potrjenem aktivnem izkoriščanju.
Katere različice so prizadete? Strands-agents (Python) vse različice z modulom multiagent.a2a pred 1.43.0, ter @strands-agents/sdk (TypeScript) pred 1.5.0.
Kako visoka je resnost ranljivosti? NVD jo glede na CVSS 4.0 ocenjuje z 8,6 (visoka), dodatna sekundarna CVSS 3.1 ocena znaša 8,1.
Pogosta vprašanja
Ali je ranljivost CVE-2026-115419 aktivno izkoriščana?
Med razpoložljivimi dejstvi ni potrjenih podatkov o aktivnem izkoriščanju, prav tako ranljivost ni uvrščena v katalog CISA KEV.
Katera različica Strands Agents SDK odpravlja težavo?
Težavo odpravljata strands-agents 1.43.0 za Python in @strands-agents/sdk 1.5.0 za TypeScript.
Kaj natančno je šlo narobe?
A2A strežnik ni pravilno izoliral stanja pogovora med klicatelji, zato je lahko uporabnik z drugačnim context_id dostopal do zgodovine pogovora drugega najemnika.
Sorodne objave
- GraphQL-core: ranljivost DoS v validacijskem pravilu OverlappingFieldsCanBeMerged
- Pegasus vohunska programska oprema potrjena na iPhonu rektorja beograjske univerze tik pred volitvami v Srbiji
- Zlonamerna programska oprema PEERSTITCH izkorišča ranljivost v FortiOS za zaobidenje preverjanja VPN-sej