Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22
  • CWE-23
  • CWE-59

CVE-2026-120307

Beta9 worker'da sandbox dosya yollarının doğrulanmaması nedeniyle konteyner dışına çıkış

beam-cloud Beta9 worker

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
1 Kas 2026
Açık yaşı
0 gün
Kaydı açan
JFROG

Yönetici özeti

Bu açık, paylaşımlı bir barındırma ortamında bir müşterinin sunucu kaynaklarına ve diğer müşterilerin verilerine erişmesine olanak tanıyabilir. Etkisi çok yüksektir ve kritik olarak sınıflandırılmıştır. Yazılım güncellemesinin hemen yapılması önerilir.

ÖzetTürkçe

Beta9 worker, sandbox dosya API'sini konteyner dışından sunar ve konteyner yolunu worker üzerindeki yola çevirir. Bu dönüşümde üst dizin segmentleri ve sembolik bağlantılar doğru kontrol edilmediği için bir kiracı, konteyner köküyle sınırlı kalması gereken işlemleri worker'ın dosya sistemine yönlendirebilmektedir. 0.1.756 öncesi sürümler etkilenmektedir.

Saldırgan ne yapabilir?

Saldırgan, çalışan bir sandbox'a sahip kimliği doğrulanmış bir kullanıcı olarak barındırma worker'ında kök yetkisiyle dosya okuyup yazabilir, silebilir ve diğer kiracıların dosyalarına erişebilir. Bildirilen kanıt kavramda worker podunun Kubernetes servis hesap belirteci de okunmuştur.

Kaynaktaki açıklama (İngilizce)

The Beta9 worker serves the sandbox file API from outside the container. getHostPathFromContainerPath turns the tenant's container path into a worker path. If the unresolved path starts with a mount destination, including the default upload mount at /tmp/.beta9, the remainder is joined onto that mount's source with filepath.Join, which cleans parent-directory segments after the prefix check. A long enough run of those segments names any absolute path on the worker. A path that matches no mount is joined onto the container root and opened in the worker's own filesystem, so an absolute symbolic link such as /var/run pointing at /run is followed against the worker root. Upload, download, stat, list, find-in-files, replace-in-files, and delete-file all call this helper. A tenant with a workspace token and one running sandbox can read, write, list, and delete files on the hosting worker as root, including files of other tenants on that machine. A read-only proof downloaded the worker pod's Kubernetes service account token through the file API for a path that did not exist inside the sandbox. In the shipped remote-node manifests that service account is bound to cluster-admin. Fixed in worker 0.1.756: sandbox file operations and workspace sync open paths with os.OpenRoot, so parent-directory and symlink lookups stay inside the container root or the mount source.

Üreticinin çözüm notu (İngilizce)

Upgrade the Beta9 worker to 0.1.756 or later. Sandbox file APIs and workspace sync use os.OpenRoot, so parent-directory segments and symbolic links stay inside the container root or the mount source. File operations refuse read-only mounts and do not write through a symlink swapped in after path resolution. The fix is commit a28bf12 (pull request 1897), released as worker-0.1.756 on 2026-09-15.

Ne yapmalı?

  1. Beta9 worker'ı 0.1.756 veya daha yeni bir sürüme yükseltin. Bu sürümde sandbox dosya işlemleri ve çalışma alanı senkronizasyonu, üst dizin ve sembolik bağlantıları konteyner kökü veya bağlama kaynağı içinde tutan os.OpenRoot ile yol açar. Üretici
  2. Güncelleme sonrasında worker podunun servis hesabının yetkilerini gözden geçirin; bu hesap cluster-admin rolüne bağlıysa en az yetki ilkesine uygun şekilde daraltın. Genel öneri
  3. Yükseltmeden önce sandbox oluşturma ve dosya API'sine erişimi geçici olarak kısıtlayın, güvenilmeyen kiracıların çalışma alanı belirteçlerini iptal edin. Genel öneri

Ek önlemler

  • Worker podlarının Kubernetes servis hesap belirteçlerini minimum yetkiyle sınırlayın ve otomatik belirteç bağlamasını yalnızca gerektiğinde açık bırakın. Genel öneri
  • Worker üzerindeki beklenmeyen dosya erişimlerini, özellikle konteyner dışındaki sistem yollarına yönelik okuma ve silme işlemlerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
beam-cloud Beta9 worker < 0.1.756 0.1.756

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.