Anthropic社のClaude Coworkに影響する新たに発見されたサンドボックスエスケープ脆弱性により、AIエージェントが処理する信頼できないコンテンツが、macOSホスト上の機密ファイルにアクセスできてしまう可能性があることが明らかになりました。
この脆弱性の影響には、SSH秘密鍵、クラウド認証情報、その他ログイン中のユーザーがアクセスできるデータが含まれます。セキュリティ研究者であるAccomplish社のOren Yomtov氏は、この攻撃経路を「SharedRoot」と命名しました。同氏は、ゲスト仮想マシンが侵害されると、ホストレベルでのデータ漏洩に全面的につながりかねないと警告しています。
Claude Coworkのサンドボックスエスケープ脆弱性
Claude Coworkは、macOS上のLinux仮想マシン(VM)内でエージェントのワークロードを実行します。セッションは非特権ユーザーとして実行される一方で、選択されたユーザーフォルダはVMに統合されます。
しかし、今回の調査により、このVMは書き込み可能なVirtioFSマウント(/mnt/.virtiofs-root)を通じて、ホストのファイルシステム全体も外部に露出させていることが判明しました。このマウントはゲスト内のrootのみがアクセスできるよう意図されていたものの、Yomtov氏はセッションユーザーがゲストのroot権限を取得し、ホストのファイルシステムにアクセスする手法を実証しました。
この攻撃チェーンは、非特権のCoworkセッションユーザーが「unshare」コマンドを使って新しいLinuxユーザー名前空間を作成するところから始まります。この操作により、CAP_NET_ADMINを含む、当該名前空間内でのroot相当の権限が付与されます。
サンドボックスのseccomp設定は、この名前空間操作とnetlinkソケットを許可しているとされており、Linuxのトラフィック制御機能へのアクセスを可能にしています。
次に、このプルーフ・オブ・コンセプトは act_peditトラフィック制御モジュールに影響するLinuxカーネルの脆弱性CVE-2026-46331を悪用します。「pedit COW」問題と説明されるこの欠陥により、攻撃者は読み取り専用ファイルに関連付けられたキャッシュページを汚染できる可能性があります。
ゼロデイ脆弱性アラート
報告書によると、攻撃者はroot所有のヘルパーバイナリを標的にできるとされています。このバイナリはサンドボックス化されたユーザーからも読み取り可能なままですが、後にCoworkの特権を持つcoworkdサービスによって実行されます。
root所有のサービスが通常の動作の中で汚染されたバイナリを再実行すると、悪意あるメモリ上のバージョンがLinux VM内でroot権限を持って実行されてしまいます。
これにより、実行時の権限昇格を防ぐ通常の保護機構が回避されてしまいます。というのも、実行元のデーモン自体がすでに昇格した権限を持っているためです。攻撃者がゲストのroot権限を取得すると、書き込み可能なホストファイルシステムのマウントにアクセスできるようになります。
この時点から、攻撃者はmacOSのユーザーアカウントが利用できるファイルを読み取り、あるいは改ざんできるとされています。価値の高い標的としては、~/.sshに保存されたSSHキー、~/.aws内のAWS認証情報、クラウドCLIのトークン、ソースコードリポジトリ、ブラウザデータ、APIキー、企業の設定ファイルなどが考えられます。
研究者らは自身のシステム上でこの一連の攻撃チェーンの実行に成功したと報告しており、サンドボックスからホストユーザーのホームディレクトリに、Claudeセッション用に明示的に接続されたフォルダの外側へファイルを書き込むことができたとしています。
研究者らはこの問題をAnthropic社に報告しましたが、同社はこの報告を「Informative(参考情報)」に分類しました。この評価には、当該CVEが最近公に開示されていたことと、脆弱性報告の受付期間が影響したとみられます。
Anthropic社はその後、Coworkのデフォルトの実行環境をクラウド実行に移行しており、今回のローカルVMエスケープという攻撃経路は、クラウドでホストされるセッションには当てはまらない可能性があることを示唆しています。
しかし、この報告書は、主なリスクはCVE-2026-46331のみに紐づくものではなく、アーキテクチャ上の問題に起因していると主張しています。非特権ユーザー名前空間、緩いseccompルール、自動読み込み可能なカーネルモジュール、そして書き込み可能なホスト全体のファイルシステム共有がそのまま維持される限り、権限昇格を許すLinuxカーネルの将来的な脆弱性が、同様の攻撃経路を生み出す可能性があります。
推奨される緩和策としては、非特権ユーザー名前空間の無効化、「unshare」「setns」の使用禁止、名前空間を作成するclone操作、およびseccompを通じたAF_NETLINKソケットのブロックが挙げられます。
組織はまた、act_peditのような未使用のカーネルモジュールが自動読み込みされないようにし、特権を持つヘルパーバイナリが共有ファイルシステムのビューを通じて改変されないよう対策すべきです。何より重要なのは、VM内のファイル共有を明示的に承認されたフォルダのみに限定し、ホストのrootファイルシステム全体をゲスト環境に書き込み可能な形で公開しないようにすることです。
警告:20を超える政府系サイトが企業や市民にマルウェアを配布していました。 攻撃に関する詳細な調査レポートを見る ことで、自組織の露出状況を確認できます。
翻訳元: https://gbhackers.com/claude-cowork-sandbox-escape-flaw/
