何が起きたか
CVE-2026-55176の付随する高深刻度アドバイザリ：ワークスペース内HTTPサービスには認証やオリジン検証がなく、ワークスペースファイルシステムコンテンツが任意のネットワークピアによって読み取り可能です。これはクロステナントトークン欠陥と組み合わさり、Flyネットワーク内での横方向の到達範囲を広げます。
なぜ重要か
エージェント型クラウドIDEのワークスペースにはソースコード、設定、シークレットが含まれます。認証なしのファイル/アーカイブ読み取りエンドポイントは、ネットワーク隣接性を資格情報なしの完全なワークスペースデータ流出に変えます。
攻撃経路
各sm-ws-* Fly Machine内の0.0.0.0:8080でリッスンするワークスペースHTTPサービスは、認証やオリジンチェックなしで/health、/file/<path>、/archive/<dir>を公開しており、到達可能な任意のピアが任意のワークスペースファイルを読み取り、完全なディレクトリアーカイブをダウンロードできます。
影響を受けるシステム
Soft MachineワークスペースHTTPサービス、バージョン0.2.247以前
緩和策
アドバイザリGHSA-h6g6-qr45-qmrrに従ってパッチ適用済みのSoft Machineリリースにアップグレードしてください。それ以外の場合はポート8080をファイアウォールで保護し、オリジンチェックを制限してください。