AnthropicのClaude Cowork(macOS版)に新たに発見された重大なサンドボックスエスケープの脆弱性チェーン「SharedRoot」により、AIエージェントが処理する信頼できないコンテンツが隔離されたLinux VMから脱出し、SSHキーやクラウド認証情報を含むMac上のあらゆる場所のファイルを読み書きできることが判明しました。
Coworkは、AppleのVirtualizationフレームワークを用いてLinux VM内にエージェントセッションをサンドボックス化しています。各セッションは非特権ユーザーとして実行され、seccompフィルターと、coworkdと呼ばれるrootデーモンが仲介するマウントレイヤーによって保護されています。
研究者のOren Yomtov氏は、ホストのファイルシステム全体が/mnt/.virtiofs-rootにVM内へ読み書き可能な状態で共有されていることを発見しました。この領域はゲスト上のroot権限からのみ見えるはずですが、実際にはそのゲストroot権限に到達すること自体が想定よりもはるかに容易であることが分かりました。
攻撃チェーンは、セッションユーザーがunshareを呼び出して新しいユーザー名前空間に入るところから始まります。ゲストがデフォルトで非特権ユーザー名前空間を許可しているため、これによりその名前空間内でroot権限となり、CAP_NET_ADMINを含むケーパビリティを取得できます。
このケーパビリティを使い、攻撃者はnetlinkソケット経由でact_peditカーネルモジュールを用いたトラフィック制御アクションを設定します。この操作は許可の甘いseccompフィルターを通過してしまい、さらにモジュールの自動読み込みを引き起こします。
ゲストカーネル上のact_peditモジュールには、2026年6月に公開されたUbuntuカーネルの脆弱性であるCVE-2026-46331(「pedit COW」)が存在します。これにより、攻撃者が読み取り権限しか持たないファイルに対しても、ページキャッシュを汚染する書き込みプリミティブを実行できてしまいます。
攻撃者は、coworkdが後で再実行するroot所有のヘルパーバイナリを汚染することで、ディスク上のバイト自体を書き換えることなくゲストroot権限へと昇格できるため、検知を回避できます。
coworkdは汚染されたバイナリを再実行する際、すでにroot権限で動作しているため、NoNewPrivsによる保護は効果がありません。そしてゲストroot権限を得た攻撃者は、書き込み可能なホスト側マウントにアクセスし、Macを直接侵害します。
Coworkのローカルセッションを実行しているmacOSユーザーは推定50万人にのぼり、攻撃者はSSHキーやクラウド認証情報のほか、ログイン中のユーザーアカウントがアクセス可能なあらゆるファイルに到達できる状態にあったとみられます。
Anthropicはその後、Coworkのデフォルトをクラウド実行方式に切り替えており、今回説明したローカルエスケープの経路は現在のほとんどのセッションには当てはまらなくなっています。
Accomplish AIがこのチェーンをAnthropicに報告しましたが、Anthropicは単独の重大な脆弱性としてではなく「Informative(参考情報)」として本件をクローズしました。その理由として、根本原因となったCVEはプログラムが定める30日間の開示猶予期間内にあったこと、また研究者らが提案した緩和策は個別の欠陥そのものを修正するものではなく、多層防御(defense-in-depth)の範疇にとどまることを挙げています。
これに対し研究者らは反論しています。カーネルの権限昇格に関する脆弱性の発見ペースは、AI支援による脆弱性研究の後押しもあって加速しており、上流のカーネルパッチだけに依存していては、ユーザーは「構造的に常に1つ脆弱性の分だけ後手に回る」ことになると主張しています。
エージェント用サンドボックスを運用するセキュリティチームは、ゲストカーネルが健全であることを前提としない多層防御の対策を講じるべきです。
以下の4つのアーキテクチャ上の変更は、それぞれ単独でもSharedRootの攻撃チェーンを断ち切ることができ、同じサブシステム系統で将来発見されるであろう別の未知のカーネル権限昇格の脆弱性についても無効化する効果が期待できます。
SOCの調査における死角を減らしましょう。ANY.RUNを使えば、脅威をより早期に封じ込め、対応コストと事業への支障を軽減できます。
翻訳元: https://cyberpress.org/claude-cowork-sharedroot-sandbox-escape/