Beta9 Worker: Sandbox-Ausbruch durch reine chroot-Isolation beim Build

Zusammenfassung

Der Beta9 Worker führt Image-Builds von Mandanten mit Buildah in chroot-Isolation aus, sodass Build-Schritte die PID-, IPC-, Netzwerk- und User-Namespaces des Worker-Pods teilen. Der Build läuft als root mit CAP_DAC_OVERRIDE, und das dateisystem des Workers, einschliesslich runc, des Kubernetes-Service-Account-Tokens des Workers und gemounteter Host-Verzeichnisse, ist über /proc/1/root erreichbar. Ein Mandant mit einem Workspace-Token kann dies durch das Einreichen eines einzelnen Image-Builds ausnutzen, was bis zur vollständigen Kompromittierung des Workers führen kann, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit.

Betroffen

• beam-cloud Beta9 Worker, Versionen vor 0.1.756
• Die Standardkonfiguration (Clip v2 Layered Builds) ist betroffen.

Behoben in

• Beta9 Worker 0.1.756 und neuer (Commit a28bf12, Pull Request 1897)
• Die Release-Listen des Herstellers zeigen neuere Worker-Versionen; installieren Sie die aktuellste Version.

Umgehung

Unbekannt.

Ausnutzung

• OffSeq meldet zum Zeitpunkt der Recherche keine bekannte Ausnutzung.
• Es wurde kein Eintrag im CISA-KEV-Katalog, kein öffentlicher Proof of Concept und keine Herstellerwarnung gefunden.
• Für den Angriff genügt ein Workspace-Token eines Mandanten.

Unsere Empfehlung

• Aktualisieren Sie Beta9 Worker auf 0.1.756 oder neuer, vorzugsweise auf die neueste Version.
• Beschränken Sie bis zur Aktualisierung, welche Mandanten Workspace-Token besitzen und Image-Builds einreichen können.
• Behandeln Sie Worker-Knoten als sensitiv: Prüfen Sie Berechtigungen des Service Accounts und Host-Mounts.
• Prüfen Sie, ob andere Probleme mit gemeinsam genutzten Mandanten derselben Serie (CVE-2026-120307, CVE-2026-120308) Ihre Umgebung betreffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Beta9 GitHub repository github.com
• Fix commit a28bf12 github.com
• Pull request 1897 github.com
• Release worker-0.1.756 github.com
• Release worker-0.1.758 github.com
• Beta9 releases github.com
• OffSeq radar entry CVE-2026-120306 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:20.