CVE-2026-61670
Açıklama
microsandbox; kolay, hızlı ve yerel öncelikli bir microVM çalışma zamanı ve kütüphanesidir. 0.5.10 sürümünden önce, sdk/rust/lib/runtime/spawn.rs, NetworkConfig gizli değerlerini --network-config argümanına serileştirir ve sandbox başına düşen gizli bilgileri crates/cli/lib/sandbox_cmd.rs tarafından kabul edilen tekrarlanan --env argümanları aracılığıyla iletir. Diğer yerel kullanıcılar veya aynı sistemde çalışan süreçler, sandbox'ın yaşam süresi boyunca bu değerleri; Linux üzerindeki /proc süreç komut satırları ile Linux ve macOS üzerindeki süreç listeleri dahil olmak üzere ana bilgisayar süreç tablosu üzerinden okuyabilir. İstismar işlemi, sandbox içinde kod yürütmeyi veya başlatıcı kullanıcının oturumuna erişimi gerektirmez; paylaşımlı ana bilgisayarlarda, CI runner'larda ve geliştirici sistemlerinde ana bilgisayar tarafındaki API anahtarlarını, token'ları ve ortam gizli bilgilerini ifşa edebilir. Bu sorun 0.5.10 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| superradcompany microsandbox | < 0.5.10 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.