CVE-2026-108759: mistral.rs Sandbox Escape via Symlink

脆弱性の概要 CVE-2026-108759: mistral.rs 0.9.0 ～ 0.9.4 におけるシンボリックリンクによるサンドボックスエスケープ 報告者: HaIND (Nguyen Dinh Hai), Post and Telecommunication Institute of Technology プロジェクト: EricLBuehler/mistral.rs、Rust 製 LLM サービスおよびエージェントランタイム。組み込みシェルおよびコード実行出力コレクターを含む。 影響を受けるバージョン: 最新安定版 v0.9.0 および現在の master ブランチ クラス: CWE-59 ファイルアクセス前の不適切なリンクレゾルブ（リンク追従）、CWE-61 UNIX シンボリックリンクの追従 状態: 最終化済み、調整された開示待ち 概要 mistral.rs は、エージェントループのためにオプションの組み込みシェルおよびコード実行ツールを実行します。このツールが有効になっている場合、モデルは ツールを使用して、特定の名前を持つ出力ファイルへのアクセスをリクエストできます。ランタイムは各リクエスト名を検証し、絶対パスおよび コンポーネントを拒否する語彙チェックを行い、その後名前にセッション作業ディレクトリを連結して を使用して読み込みます。サンドボックスサブプロセスの終了後、親プロセスは読み取りとシンボリックリンクの追従を行います。モデルが誘導したシェルコマンドにより、セッション作業ディレクトリ内に相対シンボリックリンクが作成され、これによりサンドボックスの読み込み許可リスト外のファイルを指す名前がシンボリックリンク出力として返されます。親プロセスはリンクを追従し、呼び出し元にターゲットのバイト列を返します。 サンドボックスシェルサブプロセスは、Linux 上では Landlock によって、macOS 上では Seatbelt によって制限され、それぞれ固定の読み込み許可リストと自身の作業ディレクトリに制限されます。シンボリックリンクのターゲットは、サンドボックスサブプロセス自体が読み込みを許可されていないファイルであるため、そのバイト列はアクティブなサンドボックスの境界を越えます。シェルツールは 、 、または各リクエストごとに有効にされ、デフォルトでは サンドボックスモードがアクティブです。プロジェクトのセキュリティポリシーには、任意のファイルアクセスおよび Linux または macOS の実行サンドボックスからのエスケープが記載されています。根本原因は同一であり、 書き込みプリミティブでも同様に、書き込み要求された入力ファイルに既存のシンボリックリンクが追従します。 根本原因 攻撃チェーンには4つの要素があります。シェルツールはモデル制御された出力名のリストを公開します。出力名のバリデーターは語彙的なチェックのみを行います。親プロセスは、サンドボックスサブプロセスが終了した後、シンボリックリンクの追従を用いて各名前のパスを解決して読み込みます。サンドボックスはサブプロセスを制限しますが、親プロセスは制限しないため、読み取り対象はサブプロセスがアクセスできないファイルに到達します。 1. 出力名はモデルによって制御される 2. 出力名のバリデーターは語彙的なチェックのみを行う 3. 親プロセスはシンボリックリンクの追従を用いてパスを解決して読み込む 4. サンドボックスはサブプロセスを制限するが、親プロセスのコレクターは制限しない 影響範囲 影響を受けるバージョン: mistral.rs 0.9.0 ～ 0.9.4 影響: モデルが誘導したシェルコマンドにより、相対シンボリックリンクが作成され、サンドボックスの読み込み許可リスト外のファイルを指すことで、サンドボックスエスケープを引き起こす。 修正方案 状態: 最終化済み、調整された開示待ち 推奨: 公式の修正を待って、影響を受けるバージョンの使用を避ける。 POC コード ページには具体的な POC コードは提供されていません。

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2026-108759: mistral.rs Sandbox Escape via Symlink

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2026-108759: mistral.rs Sandbox Escape via Symlink

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！