Plateforme
python
Composant
google-adk
Corrigé dans
1.28.2
2.0.0a2
1.28.1
1.28.1
La vulnérabilité CVE-2026-4810 est une faille de Code Injection et de Manque d'Authentification découverte dans le Google Agent Development Kit (ADK). Cette faille critique permet à un attaquant non authentifié d'exécuter du code arbitraire sur le serveur hébergeant l'instance ADK. Elle affecte les versions du Google ADK 1.7.0 et ultérieures jusqu'à 1.28.1, ainsi que les versions 2.0.0a1 et 2.0.0a2. Une correction a été déployée dans les versions 1.28.1 et 2.0.0a2.
Une vulnérabilité critique (CVE-2026-4810) a été identifiée dans le Kit de Développement d'Agents (ADK) de Google, affectant les versions de 1.7.0 à 1.28.1 et 2.0.0a1 à 2.0.0a2. Cette vulnérabilité combine une injection de code et un manque d'authentification, permettant à un attaquant distant non authentifié d'exécuter du code arbitraire sur le serveur hébergeant l'instance ADK. La gravité de cette vulnérabilité est notée 9,5 sur l'échelle CVSS, ce qui indique un risque élevé. L'impact potentiel comprend la prise de contrôle du serveur, le vol de données sensibles et l'interruption des services. Il est crucial de traiter cette vulnérabilité immédiatement pour protéger vos systèmes.
La vulnérabilité est exploitée en tirant parti du manque d'authentification dans certains points d'API de l'ADK. Un attaquant distant peut envoyer des requêtes malveillantes conçues pour injecter du code sur le serveur. En raison de l'absence de contrôles d'authentification appropriés, ces requêtes peuvent être exécutées sans informations d'identification valides. L'exécution de code arbitraire permet à l'attaquant de prendre le contrôle du serveur et d'effectuer des actions non autorisées. La nature distante de la vulnérabilité et la facilité d'exploitation en font une préoccupation majeure pour les utilisateurs de l'ADK.
Organizations utilizing Google ADK in production environments, particularly those deploying on Cloud Run or GKE, are at significant risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability through one user's ADK instance to compromise the entire server.
• python / server:
Get-Process -Name google-adk | Select-Object -ExpandProperty Path• python / server:
Get-WinEvent -LogName Application -Filter "EventID=1001 and Source='Google ADK'"• generic web: Use curl to probe the ADK endpoint. Check for any unexpected behavior or error messages when sending unauthenticated requests.
curl -I <ADK_ENDPOINT>disclosure
Statut de l'Exploit
EPSS
0.35% (percentile 58%)
CISA SSVC
La solution à cette vulnérabilité est de mettre à niveau vers la version 1.28.1 ou 2.0.0a2 de l'ADK. Il est fortement recommandé aux clients de déployer ces versions mises à jour dans leurs environnements de production immédiatement. De plus, si vous utilisez l'ADK Web localement, assurez-vous que cette instance est également mise à jour. Google recommande de consulter les notes de publication pour obtenir des instructions détaillées sur le processus de mise à niveau. L'application de ces mises à jour est essentielle pour atténuer le risque d'exploitation et protéger vos systèmes contre les attaques.
Actualice la ADK a la versión 1.28.2 o superior para mitigar la vulnerabilidad de ejecución remota de código. Asegúrese de actualizar tanto las instancias de producción como las instalaciones locales de ADK Web.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Les versions affectées sont de 1.7.0 à 1.28.1 et 2.0.0a1 à 2.0.0a2.
Mettez à niveau vers la version 1.28.1 ou 2.0.0a2. Consultez les notes de publication pour obtenir des instructions détaillées.
Assurez-vous que votre instance ADK Web est également mise à jour vers la dernière version.
Il existe un risque élevé qu'un attaquant distant puisse exécuter du code arbitraire sur votre serveur, compromettant la sécurité de vos données et de vos systèmes.
Aucune solution de contournement temporaire n'est recommandée. La mise à niveau vers la dernière version est la seule solution efficace.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier requirements.txt et nous te dirons instantanément si tu es affecté.