CVE-2026-120307

اسم البرنامج المتأثر والإصدارات المتأثرة Beam Cloud Beta9 Worker الإصدارات السابقة لـ 0.1.756

الوصف يقوم worker Beta9 بتقديم واجهة برمجة تطبيقات ملفات sandbox من خارج الحاوية. تقوم الدالة getHostPathFromContainerPath بتحويل مسار حاوية المستأجر إلى مسار worker. إذا بدأ المسار غير المحلول بوجهة تثبيت، بما في ذلك تثبيت التحميل الافتراضي في /tmp/.beta9 ، يتم دمج الجزء المتبقي باستخدام filepath.Join ، والتي تقوم بتنظيف مقاطع الدليل الأب بعد التحقق من البادئة. تتيح سلسلة طويلة بما يكفي من هذه المقاطع الوصول إلى أي مسار مطلق على الـ worker. بالإضافة إلى ذلك، فإن المسار الذي لا يتطابق مع أي تثبيت يتم دمجه مع جذر الحاوية وفتحه في نظام ملفات الـ worker نفسه، وبالتالي يتم اتباع الروابط الرمزية المطلقة بالنسبة لجذر الـ worker. تؤثر هذه المشكلة على عمليات التحميل، والتنزيل، و stat، و list، و find-in-files، و replace-in-files، و delete-file. يمكن للمستأجر الذي يمتلك رمز مساحة عمل و sandbox يعمل أن يقرأ ويكتب ويدرج ويحذف الملفات على الـ worker المضيف بصلاحيات root، بما في ذلك ملفات المستأجرين الآخرين على تلك الماكينة. أثبت دليل عملي إمكانية تنزيل رمز حساب خدمة Kubernetes الخاص بـ pod الـ worker، والذي يكون مرتبطاً بصلاحيات cluster-admin في بيانات بيان العقدة البعيدة الموردة.

التوصيات تحديث Beam Cloud Beta9 Worker إلى الإصدار 0.1.756 أو أحدث. تقييد وصول sandbox غير الموثوق به وحماية رموز مساحة العمل. التحقق من امتيازات حساب الخدمة وإلغاء الاعتمادات المكشوفة عند الضرورة.