CVE-2026-46703
Açıklama
Boxlite, kullanıcıların hafif sanal makineler (Boxes) oluşturmasına ve güvenilmeyen kodları çalıştırmak için bunların içinde OCI konteynerleri başlatmasına olanak tanıyan bir sandbox servisidir. Versiyon 0.9.0 öncesinde Boxlite, kullanıcıların sandbox içindeki konteynerler tarafından kullanılan OCI imajını belirtmesine izin verir. Ancak, OCI imajlarındaki tar girişlerini işlerken Boxlite, girişlerin mutlak yollara işaret eden sembolik bağlantılar (symlink) olabileceği olaslığını hesaba katmamaktadır. Bir saldırgan, kötü amaçlı bir OCI imajı hazırlayıp bunu DockerHub gibi imaj barındırma platformlarında dağıtarak kullanıcıları bu imajı kullanmaya ikna edebilir. Bir kullanıcı kötü amaçlı imajı yüklediğinde, saldırgan ana makinedeki herhangi bir yola rastgele içerik yazabilir ve bu durum ana makinede uzaktan kod çalıştırmaya yol açabilir. Bu sorun versiyon 0.9.0 ile düzeltilmiştir.
Nasıl düzeltilir
- boxlite0.9.0 ya da sonraki bir sürüm
- boxlite-cli0.9.0 ya da sonraki bir sürüm
- @boxlite-ai/boxlite0.9.0 ya da sonraki bir sürüm
- github.com/boxlite-ai/boxlite/sdks/go0.9.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| boxlitePyPI | v < 0.9.0 | 0.9.0 |
| boxlite-clicrates.io | v < 0.9.0 | 0.9.0 |
| @boxlite-ai/boxlitenpm | v < 0.9.0 | 0.9.0 |
| github.com/boxlite-ai/boxlite/sdks/goGo | v < 0.9.0 | 0.9.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.