CVE-2026-22686
Açıklama
Enclave, güvenli AI ajan kodu yürütme için tasarlanmış güvenli bir JavaScript sandbox'ıdır. 2.7.0 sürümünden önce, enclave-vm içerisinde, güvenilmeyen ve sandbox'a alınmış JavaScript kodunun ana bilgisayar Node.js çalışma zamanında rastgele kod yürütmesine izin veren kritik bir sandbox kaçış zafiyeti bulunmaktadır. Bir araç çağrısı başarısız olduğunda, enclave-vm, sandbox'a alınmış koda ana bilgisayar tarafındaki bir Error nesnesini açığa çıkarır. Bu Error nesnesi, ana bilgisayar realm prototip zincirini korur ve bu zincir üzerinden ana bilgisayar Function yapılandırıcısına ulaşılabilir. Bir saldırgan kasıtlı olarak bir ana bilgisayar hatası tetikleyebilir ve ardından prototip zincirinde yukarı çıkabilir. Ana bilgisayar Function yapılandırıcısı kullanılarak, ana bilgisayar bağlamında rastgele JavaScript derlenebilir ve yürütülebilir; bu durum sandbox'ı tamamen devre dışı bırakarak process.env, dosya sistemi ve ağ gibi hassas kaynaklara erişim sağlar. Bu durum, enclave-vm'in güvenilmeyen kodu izole etme şeklindeki temel güvenlik garantisini bozar. Bu zafiyet 2.7.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- agentfront enclave2.7.0 ya da sonraki bir sürüm
- enclave-vm2.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| agentfront enclave | v < 2.7.0 | 2.7.0 |
| enclave-vmnpm | v < 2.7.0 | 2.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.