#20260403 緊急！AI関連ツールとaiohttpの脆弱性

■ 今日のハイライト 本日は、AI開発界隈とPython界隈で大きな話題となっている、非常に深刻な脆弱性ニュースをピックアップしてお届けします。AIエージェントフレームワークや人気公式SDK、そして定番のWebライブラリに致命的な欠陥が複数報告されました。 ▼ PraisonAIにおける多数の深刻な脆弱性 AIエージェントを構築・管理する人気ツール「PraisonAI」において、システムを完全に掌握されかねない脆弱性が立て続けに報告されています。 (1) OSコマンドインジェクション（CVE-2026-34935, CVE-2026-34937）：入力値のサニタイズ不足により、攻撃者がホスト上で任意のOSコマンドを実行できる危険性があります。 (2) サンドボックスエスケープ（CVE-2026-34955, CVE-2026-34938）：分離された環境を抜け出し、制限を超えた操作が可能になる欠陥です。 (3) 認証バイパスとSSRF（CVE-2026-34953, CVE-2026-34954）：任意のトークンで認証をすり抜けたり、内部ネットワークへリクエストを強制させたりする問題が判明しています。 影響を受ける環境では、直ちに最新版へのアップデートが必要です。 ▼ Anthropic Claude SDKのサンドボックスエスケープ Claude APIを利用するための公式SDKでも、ローカルファイルを扱う機能に脆弱性が見つかりました。 (1) Python版（CVE-2026-34452）：パス検証のタイミングの隙（競合状態）を突かれ、検証をバイパスして外部ファイルにアクセスされる問題。 (2) TypeScript版（CVE-2026-34451）：ディレクトリ名の前方一致チェックの甘さを突かれ、似た名前の別ディレクトリへアクセスされてしまう問題。 AIにファイル操作を許可しているアプリケーションは要注意です。 ▼ 人気Pythonライブラリ「aiohttp」の複数脆弱性 非同期通信で広く使われる「aiohttp」でも複数のアドバイザリが出ています。 (1) メモリDoS（CVE-2026-34517等）：巨大なリクエストを送りつけることで、サーバーのメモリを枯渇させるサービス拒否攻撃が可能です。 (2) Windows環境での情報漏洩（CVE-2026-34515）：UNCパスを悪用し、NTLMv2などの認証情報が漏洩するリスクがあります。 WebサーバーやAPIバックエンドで利用している方は、早急にバージョンアップを実施してください。 【ハッシュタグ】 #セキュリティ #エンジニア #ITニュース #Python #AI #LLM #脆弱性情報 Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793