CVE-2026-46383 in apm
要約
〜によって VulDB • 2026年05月26日
Microsoft APMは、AIエージェント向けのオープンソースでコミュニティ主導の依存関係管理ツールです。バージョン0.13.0より前では、サポート対象のPython 3.10および3.11ランタイムにおいて、`apm install <bundle>`コマンドで使用されるlegacy-bundleプローブに、Windows固有のアーカイブ抽出境界チェックの失敗（boundary failure）が存在します。`apm install`にプラグイン形式のバンドルとして認識されないローカルの.tar.gzファイルが指定されると、APMはそれがレガシーな`--format apm`バンドルかどうかをプローブします。Python 3.12より前のバージョンでは、このプローブは信頼できないtarメンバを`raw tar.extractall()`で抽出しており、`D:/....`のようなWindowsの絶対パスを持つメンバ名を拒否しません。この脆弱性はバージョン0.13.0で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.