Strands Agents : risque d’écrasement de fichier via les liens symboliques dans le stockage des sessions

Veille sécuritéBackend & données

P3Élevée

Le gestionnaire de sessions fichier de Strands Agents écrit dans un chemin temporaire prévisible et suit les liens symboliques, ce qui peut permettre à un attaquant local d’écraser un fichier accessible au processus ou de modifier des données de session. Les versions antérieures à `1.48.0` sont affectées ; mettre à jour vers `1.48.0`.

IdentifiantAvis de sécurité

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif1.48.0

Source : GHSA-3w55-933p-8pv5 — Strands Agents

Analyse technique

Le stockage par défaut sous `/tmp/strands/sessions/` utilise un fichier `.tmp` prévisible ouvert sans protection contre les liens symboliques, puis remplacé. L’impact dépend des permissions du processus et de la possibilité pour l’attaquant local de placer le lien ou de modifier les fichiers de session.

Impact, versions et correctif

Événement datéAvis GitHub publié le 2026-10-27T15:34:33Z, dans la période demandée.

ImpactÉcrasement de fichiers accessibles au processus et altération persistante de données de session.

Versions affectées< 1.48.0

Version corrigée1.48.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.1

Publication2026-10-27T15:34:33Z

Mise à jour2026-10-27T15:34:33Z

Action recommandée

Mettre à jour `strands-agents` vers 1.48.0.

Sources

GHSA-3w55-933p-8pv5 — Strands Agents

Priorisation DFS : P3 · 1 source(s).