CVE-2026-47213
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Boxlite w wersjach 0.8.2 i wcześniejszych używa sygnału SIGALRM zamiast SIGKILL do zabijania procesów po przekroczeniu limitu czasu. Złośliwy kod wewnątrz piaskownicy może przechwycić ten sygnał i kontynuować działanie, prowadząc do wyczerpania zasobów i wpływu na dostępność usługi Boxlite.
Ocena ryzyka
Ryzyko polega na możliwości wyczerpania zasobów maszyny wirtualnej przez złośliwy kod, co może zakłócić działanie usługi Boxlite i wpłynąć na innych użytkowników.
Rekomendacja
Zaleca się zastosowanie poprawki z commitu 28159fc lub aktualizację do nowszej wersji Boxlite, która używa SIGKILL.
Inne podatności w Boxlite
Zobacz wszystkie- CVE-2026-46703Krytyczne
Podatność w Boxlite przed wersją 0.9.0. Użytkownik może określić obraz OCI, a podczas przetwarzania wpisów tar nie są sprawdzane dowiązania symboliczne do ścieżek absolutnych. Atakujący może umieścić złośliwy obraz na DockerHub, co pozwala na zapis dowolnej treści w dowolnej ścieżce hosta i zdalne wykonanie kodu.
- CVE-2026-46695Krytyczne
Boxlite w wersji przed 0.9.0 nie ogranicza możliwości jądra dostępnych wewnątrz kontenera, co pozwala złośliwemu kodowi na ponowne zamontowanie katalogów w trybie odczytu-zapisu i uzyskanie dostępu do zapisu do katalogów tylko do odczytu. Problem naprawiony w wersji 0.9.0.
Oryginalny opis (angielski, źródło NVD)
Boxlite is a sandbox service that allows users to create lightweight virtual machines (Boxes) and launch OCI containers within them to run untrusted code. In versions 0.8.2 and prior, Boxlite allows users to configure a timeout for services running inside the virtual machine. When the timeout is triggered, Boxlite sends a signal to kill the process. However, instead of using the uncatchable SIGKILL signal, Boxlite uses the catchable SIGALRM signal. Malicious code running inside the sandbox can exploit this vulnerability to continue running after the timeout is triggered, leading to resource exhaustion within the virtual machine and affecting the availability of the Boxlite service. This issue has been patched via commit 28159fc.