发布日期： 2026 年 11 月 1 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-120306、CVE-2026-120307、CVE-2026-120308
涉及镜像： public.ecr.aws/n4e0e1y0/beta9-worker · public.ecr.aws/n4e0e1y0/beta9-gateway
CVSS： 9.9（Critical，CVSS 3.1，三条相同：AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）
披露时间： NVD 于 2026 年 11 月 1 日公开
相关公告： worker 0.1.756 · gateway 0.1.776
一、漏洞概述
Beta9 / Beam 用官方 OCI 镜像交付 gateway 和 worker。worker 为租户构建并运行容器。下面三条都是已登录租户（持有 workspace token）可以逃出自己的沙箱，CVSS 3.1 都是 9.9。一次升级 worker 和 gateway 可以一起盖住。
CVE-2026-120306。 租户镜像定义里的 shell 命令会被写成构建步骤。默认的分层构建在 worker 上执行这些步骤时，没有把它们关进独立的容器隔离，步骤仍与 worker 共享进程和网络等命名空间，并以 root 运行。租户因此可以改到 worker 里的运行时组件，并读到节点上的服务账户令牌。远程节点清单里这个令牌常常带有 cluster-admin。提交一次镜像构建就能碰到。
CVE-2026-120307。 沙箱的文件接口在容器外面解析路径。挂载前缀检查之后，路径里的上级目录仍会被折叠，指向 worker 根的符号链接也会被跟着走。上传、下载、查看、列举、查找、替换和删除都受影响。租户可以对 worker 上的文件做 root 级读写，同机其他租户的文件也在范围内。
CVE-2026-120308。 部署 function、endpoint 或任务队列并挂卷时，gateway 用 workspace 和 volume id 拼主机路径，不检查这只卷是不是属于当前 workspace。volume id 里的上级目录可以把挂载指到 worker 文件系统的根，再以可写方式绑进沙箱。确认影响 gateway 0.1.769、worker 0.1.745 一带。
二、漏洞状态
统计截止： 2026 年 11 月 1 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（NVD、修复发布） |
| worker | ≥ 0.1.756（构建隔离、文件接口、卷校验） |
| gateway | ≥ 0.1.776（校验卷 id 和挂载路径，拒绝不属于本 workspace 的卷） |
| 官方镜像 | public ECR 上已有 beta9-worker:0.1.756、0.1.820、0.1.821，以及 beta9-gateway:0.1.776、0.1.840 |
| Docker Hub | beamcloud/beta9-worker 没有 0.1.756。公开标签不能代替这次的修复版 |
| CISA KEV | 未列入 |
三、影响范围
多租户的 Beta9 / Beam：租户能提交镜像构建、调用沙箱文件接口，或部署带卷的 function、endpoint、任务队列。worker 若把 Kubernetes 服务账户或宿主机目录暴露给构建和沙箱，影响会扩到节点和集群。
四、修复建议
worker 升到 0.1.756 或更高，gateway 升到 0.1.776 或更高。当前请固定已在 public ECR 上的 worker 0.1.821 和 gateway 0.1.840。不要写 latest，也不要改拉 Hub 上的 beamcloud/beta9-worker 或 beamcloud/beta9-gateway。
bashdocker pull public.ecr.aws/n4e0e1y0/beta9-worker:0.1.821 docker pull public.ecr.aws/n4e0e1y0/beta9-gateway:0.1.840
Helm 和清单里的镜像改成这两个标签后滚动升级。只升其中一个，另一条入口还在。
发行说明：worker 0.1.756 · gateway 0.1.776 · PR #1897
公共仓库目录：public.ecr.aws/n4e0e1y0
五、临时缓解措施
在升级之前，不要让不可信租户提交镜像构建、调用沙箱文件接口或自助挂卷。收紧 worker 所用服务账户的集群权限。这些都不能代替 0.1.756 和 0.1.776。
六、与轩辕镜像用户的相关说明
这次的修复镜像在 Amazon Public ECR。请按上面的 public.ecr.aws/n4e0e1y0/... 坐标拉取。Hub 上的 beamcloud 仓库没有 worker 0.1.756 和 gateway 0.1.776 这些修复标签，加速拉取那些旧标签不会变成修复版。
七、参考链接
- NVD：CVE-2026-120306 · CVE-2026-120307 · CVE-2026-120308
- GitHub：PR #1897 · worker 0.1.756 · gateway 0.1.776
- Public ECR：n4e0e1y0
阅读原文
轩辕镜像安全团队
2026 年 11 月 1 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。