CVE-2026-55432 in Coder
要約
〜によって VulDB • 2026年07月08日
Coderは、Terraformを介して組織がリモート開発環境のプロビジョニングを行うことを可能にします。バージョン2.29.7、2.32.7、2.33.8、および2.34.2より前では、`CreateSubAgent` RPCはワークスペースアプリを永続化する前に、要求されたアプリ共有レベルがテンプレートの`MaxPortSharingLevel`に対して有効かどうかを検証していませんでした。これにより、ワークスペース所有者が管理者によって設定された最大値を超えることが可能になりました。攻撃には、攻撃者が制御するワークスペース内でサブエージェントアプリを登録できる必要があります。バージョン2.29.7、2.32.7、2.33.8、および2.34.2での修正では、サブエージェントアプリの共有レベルがテンプレートの`MaxPortSharingLevel`に制限されます。回避策として、ワイルドカードアプリホスト名（`CODER_WILDCARD_ACCESS_URL`）を無効にして、サブドメインベースのアプリルーティングを防ぎます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.