CVE-2026-55107

Nome do Software Vulnerável e Versões Afetadas Kobako versões 0.1.0 até 0.9.0

Description Um script mruby convidado executado dentro do sandbox do Kobako pode executar código Ruby arbitrário no processo hospedeiro, resultando em uma evasão completa do sandbox. O problema ocorre porque o despachante de transporte passa nomes de métodos fornecidos pelo convidado diretamente para o Object#public send em objetos de Serviço vinculados, sem restringi-los aos métodos do próprio objeto. Um invasor pode usar o método público send para pivotar para métodos privados do Kernel, como ao passar method = "send" e args = [:eval, "<ruby>"], o que permite a execução de código Ruby controlado pelo invasor no processo hospedeiro. Isso permite que o invasor leia ou modifique o estado do hospedeiro e inicie processos.

Recommendations Atualize o Kobako para a versão 0.9.1. Como mitigação temporária, não vincule nenhum objeto de Serviço do hospedeiro em um sandbox que execute scripts não confiáveis.