CVE 2026 44338 expõe PraisonAI com autenticação desativada e acesso sem token a agentes

Nas últimas semanas, confirmou-se que atores maliciosos começaram a explorar, em questão de horas, uma falha de autenticação em PraisonAI, um marco open source para orquestração de agentes múltiplos; a vulnerabilidade registrada como CVE‐ 2026‐44338 Permite consultar pontos finais sensíveis sem necessitar de token, desde que o servidor herdado de Flask esteja em uso.

A raiz técnica do problema é simples e preocupante: o servidor API legado, em src/praisonai/api_server.py, vem com AUTH_ENABLED = False e AUTH_TOKEN = None por omissão, o que habilita o acesso a /agents e a possibilidade de disparar o fluxo configurado em agents.yaml via /chat sem autenticação. Segundo os mantenedores, isso afeta as versões da livraria Python desde a 2.5.6 até a 4.6.33 e foi corrigido na 4.6.34; a descoberta foi relatada pelo pesquisador Shmulik Cohen.

A velocidade das tentativas de exploração é a lição mais nítida: um scanner identificado como CVE-Detector/1.0 começou a consultar instâncias expostas à Internet apenas horas após a divulgação pública; Sysdig documentou a primeira petição dirigida ao endpoint vulnerável às 17:40 UTC do mesmo dia da publicação, e observou duas passadas de sondagem, a segunda focalizada já em superfícies de agentes de IA como PraisonAI. Nos registros o GET /agents sem header Authorization devolveu 200 OK com o arquivo agentes enumerado, o que confirma o bypass.

As implicações práticas dependem do conteúdo de cada agents.yaml: desde a simples enumeração da configuração até o desencadeamento remoto de fluxos que podem consumir quotas de modelos ou APIs, revelar resultados de execuções e, em ambientes mal configurados, permitir movimentos laterais ou exfiltração. O vetor não requer exploração criativa: basta que o processo legado esteja acessível da rede.

Para qualquer organização que utilize PraisonAI ou implementações baseadas em agentes semelhantes, as prioridades imediatas são claras: atualizar à versão corrigida (4.6.34 neste caso) ou impedir a utilização do servidor Flask legado; auditar e minimizar a exposição de endpoints de desenvolvimento ou administração; e rever os arquivos agents.yaml em busca de credenciais, hooks ou acessos a serviços externos que se rotassem. Além disso, convém rever a facturação e os registos de consumo nos fornecedores de modelos por se houve utilização não autorizada.

Do ponto de vista operacional, é importante não se limitar ao adesivo: aplicar controles de rede que restrinjam quem pode alcançar os endpoints (firewall, regras de segurança de nuvem, acesso apenas por VPN ou localhost), instrumentar monitoramento que busque padrões de pesquisa (por exemplo, GET a /agents sem Authorization ou User‐Agent suspeitos) e estabelecer alertas sobre picos de consumo em APIs de modelos. Também é prudente activar autenticação robusta e remover por defeito qualquer servidor que arranque sem proteção.

Se a sua implantação já foi digitalizada, considere revogar e rodar todas as credenciais referenciadas em agents.yaml, auditar acessos e backups por possíveis exfiltrações, e procurar indícios de chamadas a /chat que possam ter executado workflows. Ferramentas de detecção de compromissos, análises de logs e revisões de configuração podem reduzir o risco de impactos severos.

Este episódio se encaixa numa tendência mais ampla: o ecossistema de ferramentas e scanners adversários incorpora rapidamente vulnerabilidades públicas, com janelas de exploração que muitas vezes se midem em horas. Por isso é imprescindível que as equipes de desenvolvimento e segurança tratem as configurações por defeito não seguras como incidentes potenciais e adoptem princípios de mínimo privilégio desde o design. Para orientação sobre boas práticas de autenticação e como fechar esses vetores, consulte recursos como NVD do NIST e recomendações do OWASP sobre autenticação.

A vulnerabilidade em PraisonAI lembra que a velocidade de adesivo e a higiene operacional importa tanto quanto o adesivo técnico. Para mais informações sobre gestão de vulnerabilidades críticas e catálogos de exploração conhecida, visite a página de CISA sobre vulnerabilidades exploradas em liberdade e a base de dados de NVD. Implementar atualizações, segmentação de rede e rotatividade de segredos deve ser parte da resposta imediata de qualquer equipe que gere agentes de IA.

NVD (NIST) e OWASP Authentication Cheat Sheet oferecem boas referências para fortalecer controles de acesso, e Lista de CISA Ajuda a priorizar adesivos contra riscos ativos.