注目★★★★★GitHub Advisory
Kobako Ruby サンドボックス完全脱出、ゲスト mruby から host RCE — 全バージョン脆弱
30秒で把握
- 1Kobako の public_send ディスパッチが制限なく Kernel#eval 呼び出しを許可・ゲスト mruby から host RCE 達成可能
- 2バージョン 0.1.0〜0.9.0 全リリース版が脆弱・untrusted スクリプト実行運用は完全に攻撃可能な状態
- 3本番 Kobako 環境は即座に稼働停止・修正版リリース後の検証を待機・その間は代替隔離手段の準備が必須
要約
Kobako サンドボックスで実行されるゲスト mruby スクリプトが、public_send 経由で任意の Ruby コードをホストプロセスで実行でき、サンドボックスを完全に脱出できる。攻撃者は bound Service オブジェクト上で send メソッドを呼び出し、eval に任意コードを渡してホスト RCE を達成する。バージョン 0.1.0 から 0.9.0 まで全リリース版が脆弱であり、untrusted スクリプトを実行する運用は完全に危険にさらされる。
あなたへの影響
Kobako を使用して untrusted スクリプトを実行するプロジェクトは、本番稼働を即座に停止し、アップデート待機中の代替隔離手段を検討すべき。
推奨：本脆弱性は意図的な eval 制限回避ではなくメソッドディスパッチの設計欠陥であり、修正版リリースまでの間は root 権限での実行や機密データへのアクセスを制限することが必須。