Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22
  • CWE-668

CVE-2026-120308

Beta9 gateway ve worker bileşenlerinde volume yolu üzerinden ana sistem dosyalarına erişim

beam-cloud Beta9 gatewaybeam-cloud Beta9 worker

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
1 Kas 2026
Açık yaşı
0 gün
Kaydı açan
JFROG

Yönetici özeti

Çok kiracılı bu platformda bir müşteri, diğer müşterilerin verilerine ve sunucudaki dosyalara erişebilir. Veri sızıntısı ve değiştirilmiş verilerle birlikte ciddi bir güven kaybı riski vardır. Güncelleme hemen uygulanmalıdır.

ÖzetTürkçe

Beta9 platformundaki bir kiracı, fonksiyon, endpoint veya görev kuyruğu dağıtırken bir volume bağlayabilir. Gateway, host yolunu paylaşılan volume kökü, çalışma alanı adı ve volume kimliğini birleştirerek oluşturur; ancak bu kimliğin çalışma alanına ait bir volume'a işaret edip etmediği kontrol edilmez. Kimlikte yer alan üst dizin ifadeleri ("..") yolu worker'ın dosya sistemi köküne kadar çıkarır ve volume salt okunur işaretlenmediği sürece sandbox içine yazılabilir olarak bağlanır. Gateway 0.1.776 öncesi ve worker 0.1.756 öncesi sürümler etkilenir.

Saldırgan ne yapabilir?

Çalışma alanı token'ına sahip bir saldırgan, worker makinesindeki diğer kiracıların volume'ları dahil dosyaları okuyabilir ve değiştirebilir.

Kaynaktaki açıklama (İngilizce)

A Beta9 tenant can attach a volume when deploying a function, endpoint, or task queue. The gateway builds the host path by joining the shared volumes root, the workspace name, and the volume identifier from the stub configuration. Nothing checks that the identifier names a volume that workspace owns. Parent-directory segments in the identifier collapse the joined path to the worker's filesystem root, and the worker bind-mounts that path into the sandbox read-write unless the volume was explicitly marked read-only. A tenant with a workspace token can therefore read and write the worker's files, including other tenants' volumes stored on that machine. Confirmed against gateway 0.1.769 and worker 0.1.745. Fixed in gateway 0.1.776 and worker 0.1.756: volume identifiers and mount paths are validated before a mount is built, including for stubs saved before the check existed, and the gateway rejects a volume that does not exist or is not owned by the workspace.

Üreticinin çözüm notu (İngilizce)

Upgrade the gateway to 0.1.776 or later and the worker to 0.1.756 or later. Volume identifiers and mount paths are rejected when they are empty, ".", "..", or contain a slash (identifiers) or a ".." segment (mount paths). The gateway also refuses a volume the workspace does not own. Stubs stored before the check existed are validated when they are launched. The fix is commit a28bf12 (pull request 1897), released on 2026-09-15.

Ne yapmalı?

  1. Gateway bileşenini 0.1.776 veya daha yeni sürüme, worker bileşenini 0.1.756 veya daha yeni sürüme yükseltin. Üretici
  2. Yükseltmeden sonra, yükseltme öncesinde kaydedilmiş stub yapılandırmalarının da doğrulandığını, bu stub'ların yeniden başlatıldığında kontrolden geçtiğini göz önünde bulundurun. Üretici
  3. Yükseltme yapılana kadar çalışma alanı token'larını gözden geçirin, şüpheli ya da gereksiz token'ları iptal edin ve yeni volume bağlama işlemlerini geçici olarak kısıtlayın. Genel öneri
  4. Worker makinelerinde beklenmeyen dosya değişikliklerini ve volume dizinleri dışındaki erişimleri kontrol edin. Genel öneri

Ek önlemler

  • Kiracılar arasında ayrım yapan volume'ları mümkün olduğunca salt okunur olarak yapılandırın. Genel öneri
  • Worker makinelerinde host dosya sistemine erişimi en aza indirin ve dosya bütünlüğü izlemesi uygulayın. Genel öneri
  • Gateway ve worker erişim günlüklerini volume bağlama işlemleri açısından düzenli olarak inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
beam-cloud Beta9 gateway < 0.1.776 0.1.776
beam-cloud Beta9 worker < 0.1.756 0.1.756

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.