CVE-2026-22686
Təsvir
Enclave, AI agent kodlarının təhlükəsiz icrası üçün nəzərdə tutulmuş təhlükəsiz JavaScript sandbox-udur. 2.7.0 versiyasından əvvəl enclave-vm-də etibarsız, sandbox daxilindəki JavaScript kodunun host Node.js mühitində ixtiyari kod icra etməsinə şərait yaradan kritik sandbox-dan çıxma zəifliyi mövcuddur. Alət çağırışı uğursuz olduqda, enclave-vm sandbox-dakı koda host tərəfli Error obyektini təqdim edir. Bu Error obyekti özünün host realm prototip zəncirini saxlayır və bu zəncir vasitəsilə host Function konstruktoruna çatmaq mümkündür. Hücumçu qəsdən host xətası törədərək prototip zənciri boyunca yuxarı qalxa bilər. Host Function konstruktoru istifadə edilərək, ixtiyari JavaScript kodu host kontekstində kompilyasiya oluna və icra edilə bilər ki, bu da sandbox-u tamamilə yan keçərək process.env, fayl sistemi və şəbəkə kimi həssas resurslara giriş imkanı verir. Bu, enclave-vm-in etibarsız kodları izolyasiya etmək üzrə əsas təhlükəsizlik zəmanətini pozur. Bu zəiflik 2.7.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- agentfront enclave2.7.0 və ya daha yeni versiya
- enclave-vm2.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| agentfront enclave | v < 2.7.0 | 2.7.0 |
| enclave-vmnpm | v < 2.7.0 | 2.7.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.