Vulnérabilité dans Metalama.Framework (CVE-2026-62847)
Résumé
Vulnérabilité dans Metalama.Framework (CVE-2026-62847). Risque d'opérations non autorisées ou de divulgation. Exploitable via METALAMA_TEMP. Atténuation : mise à jour vers 2026.0.25 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Metalama loaded and executed compile-time assemblies, auxiliary executable tools, and embedded helper assemblies from predictable temporary directories. On Linux and macOS the default cache location was the world-writable system temporary directory (Path.GetTempPath(), i.e. /tmp), and previously-generated artifacts were trusted based on the presence of a sentinel/.completed marker file rather than on any integrity verification.
A local, unprivileged user on a shared machine or CI/build agent can pre-create the deterministic cache directory structure and plant a malicious DLL together with the matching sentinel file. When a higher-privileged user (or build/service account) subsequently runs a build, Metalama finds the sentinel, skips regeneration, and loads and executes the attacker-supplied assembly inside the compiler / IDE / MSBuild process.
Affected load-and-execute paths:
- the cache of compile-time assemblies that Metalama generates from your aspects;
- auxiliary executable tools that Metalama extracts to a local directory and then launches;
- embedded .NET helper assemblies that Metalama extracts to a local directory and loads into the build / IDE process.
Impact
Arbitrary code execution in the security context of the building user — i.e. a local privilege escalation across user accounts on shared POSIX systems (multi-user developer machines, CI/build agents). The attacker obtains code execution as the victim without holding the victim's privile…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-62847 a été découverte dans Metalama.Framework.
Des attaquants peuvent cibler un point d'entrée spécifique comme METALAMA_TEMP à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation.
Action : mettez à jour Metalama.Framework vers 2026.0.25 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « Metalama.Framework CVE-2026-62847 » sur le site de l'éditeur.
CVE-2026-62847 (Metalama.Framework) — CWE-377
Surface d'attaque : METALAMA_TEMP
Correctif : 2026.0.25 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-377) affecte Metalama.Framework. Les attaquants atteignent le code vulnérable via METALAMA_TEMP.
Consultez l'avis de l'éditeur pour les versions affectées de Metalama.Framework. Surface d'attaque : METALAMA_TEMP.
Gravité : ?. Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 2026.0.25.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'Metalama.Framework' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
Metalama.Frameworkを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade Metalama.Framework to 2026.0.25ステージング環境で 2026.0.25 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com