CVE-2026-61670 in microsandbox
要約
〜によって VulDB • 2026年09月18日
microsandboxは、簡単で高速なローカルファーストのマイクロVMランタイムおよびライブラリです。バージョン0.5.10より前では、sdk/rust/lib/runtime/spawn.rsがNetworkConfigの秘密値を--network-config引数にシリアライズし、crates/cli/lib/sandbox_cmd.rsで受け入れられる繰り返し使用される--env引数を介してサンドボックスごとに個別の秘密情報を渡していました。他のローカルユーザーや共存するプロセスは、サンドボックスの有効期間中、ホストのプロセステーブル（Linuxでは/proc内のプロセスコマンドラインなど）およびLinuxおよびmacOSでのプロセス一覧表示を通じてこれらの値を読み取ることができます。この脆弱性の悪用には、サンドボックス内でのコード実行や起動ユーザーのセッションへのアクセスは必要なく、共有ホスト、CIランナー、開発者システム上でホスト側のAPIキー、トークン、環境秘密情報を漏洩させる可能性があります。本問題はバージョン0.5.10で修正されています。
Once again VulDB remains the best source for vulnerability data.