pulseai/club/phl Parent Session ReadOnly Workspace Escape Vulnerability Analysis

脆弱性概要 タイトル: Phi のサブエージェントワーカーが、モデル選択により親の読み取り専用ワークスペースから脱出する 報告者: HainD (Nguyen Dinh Hai), Post and Telecommunication Institute of Technology, github.com/HainD03 プロジェクト: pulseai/club/phl, ローカルコーディングエージェント (Go) 影響を受けるバージョン: v0.28.4, コミット: 5b3cba44 分類: CWE-280 不十分な特権の不適切な処理, CWE-668 リソースの誤ったスフェアへの曝露 ステータス: 調整された開示が進行中、CVE未割り当て --- 影響範囲 脆弱性の説明: Phi は、親セッションを を持つ読み取り専用モードで実行することを許可します。これにより、エージェントは選択されたワークスペース以外のファイルを変更できません。以下の3つの事実の組み合わせにより、この保証が侵害されます： 1. ツールは、モデル選択された を生成リクエスト内で複製しますが、それが親ワークスペース内に留まっているかどうかのチェックを行いません。 2. は に分類され、そのゲートは常に許可され、読み取り専用の折りたたみ（readonly fold）に触れません。これは、書き込み、編集、または bash 操作ではないためです。 3. デフォルトのジョブマネージャーが構築するサブランナーには親ゲートがないため、サブランナーはモデルが提供した をワークスペースルートとし、親ワークスペースではない新しい権限ゲートを構築します。 4. ワーカーのロールは書き込み可能であり、サブポリシーは を維持します。 5. サブ 内での書き込みはワークスペースチェックを通過します。 影響: 親ワークスペース外にあるモデル選択された により、親の読み取り専用設定および ルートがバイパスされます。 --- 修正方法 根本原因: 1. が制約のない を複製している。 2. 親ゲートは読み取り専用モードでも を許可している。 3. サブランナーの構築時に親ゲートが含まれていない。 4. ワーカーのロールは書き込み可能であり、サブポリシーは を維持している。 5. サブ 内での書き込みがワークスペースチェックを通過している。 詳細な攻撃手順: 1. 親セッションがロックされる。 2. モデルがワーカーの生成へ誘導される。 3. プロンプトなしで生成が許可される。 4. サブランナーは外部をルートとする新しいゲートを得る。 5. ワーカーが親ワークスペース外に書き込みを行う。 6. 結果：親セッションが読み取り専用および の条件下でも、親ワークスペース外にファイルが作成され、承認プロンプトは表示されない。 検証: - これは静的レビューです。 - コード以外の唯一の仮定は、親モデルがワークスペース外にある を介して誘導可能であることです。 - コードはあらゆる を無条件に受け入れます。 - 到達性の要件は、タスクまたはプロンプトテキストを通じた通常のモデル誘導にまで減算され、これは標準的なエージェント脅威モデルです。 - ランタイムデモではない点としては、ワークスペース外への書き込みを超える具体的な深刻度に関する、エンドツーエンドのファイル書き込みが含まれません。 - 期待される には、 を超えるワークスペース脱出と、予測不能な破壊的権限ゲートバイパスが範囲内と記載されており、これが認められた設計ではなく報告可能なバグと見なされる理由です。 --- POCコード --- まとめ 本脆弱性により、Phi のサブエージェントワーカーはモデル選択されたワークディレクトリを介して親の読み取り専用ワークスペースから脱出し、親ワークスペース外へのファイル書き込みを可能にします。これにより、親の読み取り専用設定および ルートがバイパスされます。修正には、 ツールが複製する が親ワークスペース内に制限されること、および子ランナーの構築時に親ゲートが含まれることを確認する必要があります。

目標達成すべての支援者に感謝 — 100%達成しました！

pulseai/club/phl Parent Session ReadOnly Workspace Escape Vulnerability Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

pulseai/club/phl Parent Session ReadOnly Workspace Escape Vulnerability Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！