CVE-2026-120306

🔴 beam-cloud 0.1.756 fixes 3 critical CVEs Worst: sandbox escape in image build workers via chroot (CVE-2026-120306) Patch → 0.1.756 https://cve.now/CVE-2026-120306?release=CVE-2026-120307,CVE-2026-120308&utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=rollup

🚪🚪🚪 Three different doors. Every one opened onto the same room: the shared GPU worker, as root. Beta9 is Beam Cloud's open source platform for serverless GPU inference and sandboxes. Three CVEs, each CVSS 9.9, each needing only a tenant's workspace token: 1️⃣ CVE-2026-120306: image builds ran with Buildah chroot isolation inside a privileged pod. One build reached the worker's filesystem. 2️⃣ CVE-2026-120307: the sandbox file API checked a path, then joined it in a way that undid the check. A test pulled the worker's service account token. 3️⃣ CVE-2026-120308: nothing checked that a workspace owned the volume it named. 🔑 In the shipped remote node manifests, that service account is bound to cluster-admin. The fix did not change that file. 🗓️ Fixed 15 September in a pull request titled "Handle sandbox edge cases". No advisory. The CVEs came 47 days later. 🟢 No exploitation stated. Not in KEV. 🔗 https://www.pk-sharma.com/briefing/beta9-three-cvss-9-9-flaws-let-one-tenant-reach-the-worker-as-root-and-its-service-account-token #Beta9 #Kubernetes #GPU #AIInfrastructure #MultiTenancy #ContainerSecurity #CloudSecurity #Serverless #Buildah #CVE #AISecurity #DevSecOps #CyberSecurity #InfoSec

⚠️ CVE-2026-120306 (9.9) ⚠️ Beta9, which builds tenant container images, lets any tenant with a workspace token take over the build worker and read its Kubernetes token. The fix is in build worker 0.1.756, so upgrade to that or later. https://t.co/eqnPVQi8iY

【11/1 本日のまとめ】CVE・脆弱性ニュースまとめ ■国内 1日は、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① Microsoft「Visual Studio」：認証局eMudhraの証明書流出に関連し、通信の相手になりすまされるおそれ（CVE-2026-118147、CVSS v3.1 7.4） Visual Studioが証明書を正しく検証しないため、ネットワーク上の攻撃者が通信の相手になりすませるおそれがある脆弱性で、日本時間1日未明にhttp://cve.orgへ登録されました。Microsoftは、中間証明書の秘密鍵が流出したインドの認証局eMudhraの問題への対応として、10月30日にVisual Studioの修正を出したと説明しています。影響はVisual Studio 2017（15.9.84より前）、2019（16.11.62より前）、2022（17.14.44より前）、2026（18.11.3より前）で、それぞれのバージョン以降に更新すれば修正されます。Windows本体の10月26日の臨時更新とは別に、Visual Studioも個別に更新が必要です。現時点で、この脆弱性の悪用は報告されていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118147 出典：Microsoft https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-118147 出典：Microsoft https://www.microsoft.com/en-us/msrc/blog/2026/10/patch-now-php2shell-brotli-emudhra-guidance-for-customers ② Apache「Apache MINA 3.0（Java向けネットワーク通信フレームワーク）」：受け取ったデータを安全でない方法で復元し、リモートからコードを実行されうる脆弱性（CVE-2026-118636、CVSS v3.1 9.8） Javaのネットワークアプリケーションでよく使われるApache MINAのうち、開発途中の3.0系の部品JavaNativeMessageDecoderが、受け取ったデータを中身の確認なしにJavaオブジェクトへ復元（デシリアライズ）してしまう脆弱性です。この部品を信頼できない相手との通信に使っているアプリでは、細工したデータを送られるとリモートからコードを実行されるおそれがあります。影響は3.0.0〜3.0.0-M2で、3.0系はすでに開発が止まっているため修正版は出ず、Apacheは2.2系の最新版を使うよう呼びかけています。広く使われている2.x系は今回の対象に含まれていません。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-118636 出典：Apache Software Foundation https://lists.apache.org/thread.html/h76nwcrkvsffhsk2kq6cjzc6srtnty7x ③ dromara「Jpom（サーバー運用・デプロイ管理ツール）」：ログイン不要で最高管理者になり、コマンドを実行されうる認証回避（CVE-2026-120201、CVSS 9.8） 中国発のオープンソースの運用管理ツールJpomで、API認証用のヘッダー「JPOM-USER-TOKEN」に送られた値が、そのまま検索条件として解釈されてしまう脆弱性です。ログインしていない攻撃者が「is not null」のような値を送るだけで最高管理者の権限を得て、Jpomのスクリプト機能からサーバー上でコマンドを実行できるおそれがあります。影響は2.10.0〜2.11.12で、2.11.12が現時点の最新版のため修正版はまだ出ていません。報告したリサーチャーによると開発元のリポジトリは2月以降更新が止まっており、インターネットから管理画面に届かないようにするのが当面の対策になります。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120201 出典：Jpom（GitHub） https://github.com/dromara/Jpom/issues/121 出典：VulnCheck https://www.vulncheck.com/advisories/jpom-2.10.0-through-2.11.12-authentication-bypass-via-jpom-user-token-header ④ anji-plus「AJ-Report（データ可視化・帳票ツール）」：埋め込みの固定鍵で共有トークンを偽造され、ログイン不要でコードを実行されうる脆弱性（CVE-2026-120209、CVSS 9.8） 中国発のオープンソースのBI・帳票ツールAJ-Reportで、レポート共有用のトークン（JWT）の署名にプログラムに埋め込まれた固定の鍵が使われているため、攻撃者が有効なトークンを手元で作れてしまいます。そのトークンを使うと、本来は認証が必要なデータ変換の試験機能に届き、送り込んだGroovyスクリプトがサーバー上で実行されるおそれがあります。影響は1.7.1以前で、修正版は確認できていません。公開サーバーで使っている場合は、外部からのアクセスを制限してください。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120209 出典：VulnCheck https://www.vulncheck.com/advisories/aj-report-through-1.7.1-authentication-bypass-leading-to-rce-via-share-token ⑤ D-Link「DIR-505（携帯型無線LANルーター）」：TFTPのファイル名処理でスタックバッファオーバーフロー、リモートから乗っ取られるおそれ（CVE-2026-120189、CVSS v3.1 10.0、実証コード公開済み） D-Linkの小型ルーターDIR-505で、TFTPのアップロード処理（/usr/bin/tftpd）が受け取ったファイル名を正しくチェックせず、スタック上のバッファがあふれてしまう脆弱性で、日本時間1日午前9時にhttp://cve.orgへ登録されました。認証なしにネットワーク越しに攻撃でき、細工したファイル名を送られると機器上で任意のコードを実行されるおそれがあります。登録元のVulDBによると影響はファームウェア1.10B02で、攻撃の実証コード（PoC）がすでに公開されています。DIR-505は2018年1月31日にサポートが終了しているため、修正版は出ない見込みで、D-Linkはサポート切れ製品の使用をやめて買い替えるよう呼びかけています。現時点で実際の攻撃に使われたという報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120189 出典：VulDB https://vuldb.com/vuln/429528 出典：D-Link https://legacy.us.dlink.com/pages/product.aspx?id=bfae1a942f86457cb0a75250b5364116 ⑥ WAVLINK「無線LANルーター・中継器 6機種」：管理画面などの処理にOSコマンドインジェクション、リモートから機器を乗っ取られるおそれ（CVE-2026-120195／120196／120197／120198／120227／120228、CVSS v3.1 9.9〜10.0、実証コード公開済み） 中国WAVLINKの無線LAN機器で、Web管理画面やバックエンドの処理が受け取った値をそのままOSのコマンドに渡してしまう脆弱性が、1日にhttp://cve.orgへ相次いで登録されました。昼すぎに登録された4件はWL-WN579A3-A、WN579X3-D、WL-WN530HG4B、WL-WN530BE1-Aが対象で、夜にはWN701AE（M01AE_V260105、静的ルート設定のルール名）とWN553X1-B（V260403_2.0.0、ioosサービスのグループ名など）の2件が加わりました。登録元のVulDBによると、WL-WN579A3-AとWL-WN530BE1-Aの2件は認証なしでネットワーク越しに攻撃でき（CVSS 10.0）、残る4件はログインできる立場からの攻撃が前提です（CVSS 9.9）。いずれも攻撃の実証コード（PoC）が公開されていますが、実際の攻撃に使われたという報告や修正版の公開は確認できていません。管理画面をインターネット側に公開しない、初期パスワードを変える、といった対策をおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120195 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120196 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120197 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120198 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120227 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120228 出典：VulDB https://vuldb.com/vuln/429558 ⑦ Oray（贝锐）「蒲公英 X5 Pro（ルーター）」：権限の弱いアカウントから工場出荷時リセットなどのAPIを呼べる認可不備と、パストラバーサル（CVE-2026-120224 CVSS v3.1 9.9、CVE-2026-120225 CVSS v3.1 9.1、実証コード公開済み） 中国Orayのルーター「蒲公英（Pugongying）X5 Pro」で、2件の脆弱性が日本時間1日夜にhttp://cve.orgへ登録されました。CVE-2026-120224は、APIをまとめて呼び出す処理（run_apis_by_json／run_async_task）で権限のチェックが不十分なため、機能を制限されたアカウントでも工場出荷時リセットなど本来できない操作を実行できるおそれがあるものです。CVE-2026-120225は、設定の復元処理（config_restore_ex）でファイル名の「../」を防げないパストラバーサルで、こちらは管理者権限での操作が前提です。登録元のVulDBによると影響はファームウェア7.6.0と7.6.1で、攻撃の実証コード（PoC）が公開されていますが、ベンダーは事前の連絡に応答しておらず、修正版は確認できていません。実際の攻撃に使われたという報告も確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120224 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120225 出典：VulDB https://vuldb.com/vuln/429583 ⑧ beam-cloud「Beta9（サーバーレスGPU・サンドボックス基盤）」：利用者（テナント）が基盤側のワーカーを乗っ取り、他のテナントのデータにも触れられる脆弱性3件（CVE-2026-120306／120307／120308、CVSS v3.1 9.9） AI推論やサンドボックスを動かすオープンソースのサーバーレス基盤Beta9で、テナント間の分離が破れる脆弱性3件が日本時間1日夜にhttp://cve.orgへ登録されました。CVE-2026-120306はイメージのビルド処理が十分に隔離されずにワーカーの権限で動いてしまうもの、CVE-2026-120307はサンドボックスのファイル操作APIで「../」によりワーカー上の任意のファイルを読み書き・削除できるもの、CVE-2026-120308はボリュームの指定でワーカーのファイルシステム全体をサンドボックスに書き込み可能な状態でつなげてしまうものです。いずれもワークスペースのトークンを持つテナントなら悪用でき、ワーカーや同じマシン上の他テナントのボリュームに手が届くおそれがあります。影響はworker 0.1.756より前とgateway 0.1.776より前で、修正版は9月15日に公開済みです。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120306 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120307 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120308 出典：beam-cloud（GitHub） https://github.com/beam-cloud/beta9/releases/tag/gateway-0.1.776 ■注意点 ・米CISAのKEVは1日夜の時点でも、30日のIvanti Connect Secure 2件以降の追加がありません。Ivanti Connect Secure（CVE-2026-111357）の米連邦機関向け対応期限は11月2日（米国時間）です。 ・WAVLINK（⑥）、Oray（⑦）、D-Link（⑤）のルーターは修正版が確認できていないか、サポートが切れています。管理画面を外から見えない設定にし、古い機器は買い替えを検討してください。 ・自前でGitサーバーのGiteaを運用している場合は、1日夜（日本時間）に公開された28.3.0で、アクセストークンの制限漏れやActionsのシークレット流出につながる問題など19件のCVEが修正されています（http://cve.org上は深刻度未付与）。早めの更新をおすすめします。 #脆弱性 #CVE #サイバーセキュリティ

🚨 CVE-2026-120306 / 120307 / 120308 (CVSS 9.9 Critical) Shared Buildah chroot namespaces and path traversal in Beam Cloud Beta9 let tenants escape sandboxes and steal K8s tokens. ⚡ Action: Upgrade to worker-0.1.756 and gateway-0.1.776. 🔗 https://www.thehackerwire.com/vulnerability/CVE-2026-120306/ https://t.co/o5A6QZaLYY

Self-hosting Beam Cloud's Beta9 for GPU sandboxes? Check your worker version. CVE-2026-120306 (CVSS 9.9, published today) lets a tenant with just a workspace token escape an image build into the privileged worker. Fixed in worker 0.1.756. https://research.jfrog.com/vulnerabilities/beta9-is-vulnerable-to-a-build-worker-sandbox-escape-via-chroot-only-buildah-isolation-cve-2026-120306/

#NØØT_Security_Alerts 🚨 #ALERT — Beta9 Buildah Chroot Isolation Exposes Privileged Worker Environment November 1, 2026 (JFrog CNA disclosure; fix released September 15) PRODUCT: Beam Cloud Beta9 Worker | CVE-2026-120306 | CRITICAL (CVSS 3.1: 9.9). AFFECTED: Worker before 0.1.756. FIXED: Worker 0.1.756 (September 15). CONDITIONS / IMPACT: A tenant holding a workspace token can submit a default Clip v2 layered image build. Buildah RUN steps using chroot isolation share privileged worker-pod PID, network and IPC namespaces rather than isolating them. The worker filesystem and Kubernetes service-account token can be reachable via the shared environment; this creates severe potential for worker compromise. EXPLOITATION STATUS: JFrog’s read-only proof showed shared namespaces, elevated capabilities and visibility of the worker’s runc binary. It did not prove malicious in-the-wild exploitation or full worker takeover. TRIAGE: Inventory active workers and who may submit image builds. Check unusual image definitions, Buildah execution, worker-pod access and Kubernetes audit logs; available logs may be incomplete. URGENT ACTION: Restrict untrusted builds and preserve evidence. Upgrade the WORKER to 0.1.756 or later. Verify actual running images and Buildah OCI isolation with private PID, IPC and network namespaces; assess exposed service-account credentials and mounted host paths if suspicious activity occurred. Updating alone cannot rule out earlier compromise. SOURCE — JFROG CNA RECORD: https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/120xxx/CVE-2026-120306.json VENDOR PATCH: https://github.com/beam-cloud/beta9/pull/1897 WORKER RELEASE: https://github.com/beam-cloud/beta9/releases/tag/worker-0.1.756 CONFIDENCE: HIGH for documented isolation failure and fix; real-world exploitation unverified. #CyberSecurity #CloudSecurity #DevSecOps #IncidentResponse