Sandboxie-Plus is an open source sandbox-based isolation software for Windows. In versions 1.17.2 and earlier, NamedPipeServer::OpenHandler copies the server field from NAMED_PIPE_OPEN_REQ into a fixed WCHAR pipename[160] stack buffer using wcscat without verifying null termination. The handler only enforces a minimum packet size, and since the service pipe accepts variable-length messages, a sandboxed caller can fill the server[48] field with non-zero data and append additional controlled wide characters after the structure. wcscat then reads past the fixed field and overflows the stack buffer in the SYSTEM service. This message is restricted to sandboxed callers, making it a sandbox escape vector. This can lead to a crash of the SbieSvc service or potential code execution as SYSTEM. This issue has been fixed in version 1.17.3.
CVE-2026-34464 is a critical stack buffer overflow vulnerability in Sandboxie-Plus versions 1.17.2 and earlier that allows sandboxed processes to escape the sandbox and execute arbitrary code with SYSTEM privileges. The vulnerability exists in the NamedPipeServer::OpenHandler function which improperly handles named pipe requests without proper null-termination validation. With public exploits available, this poses an immediate threat to organizations using Sandboxie-Plus for application isolation and malware analysis.
IMMEDIATE ACTIONS:
1. Identify all systems running Sandboxie-Plus versions 1.17.2 or earlier using asset inventory and endpoint detection tools
2. Isolate affected systems from critical networks if they process untrusted content or run malware analysis
3. Disable Sandboxie-Plus services on non-essential systems until patching is complete
4. Monitor SbieSvc service for unexpected crashes or terminations
PATCHING GUIDANCE:
1. Upgrade to Sandboxie-Plus version 1.17.3 or later immediately when available
2. Verify patch deployment across all affected endpoints
3. Test patches in non-production environments first
4. Implement staged rollout for critical systems
COMPENSATING CONTROLS (if patching delayed):
1. Restrict Sandboxie-Plus usage to trusted applications only
2. Disable named pipe communication between sandboxed and host processes where possible
3. Implement application whitelisting to prevent untrusted code execution
4. Run Sandboxie-Plus in read-only mode for non-essential operations
5. Segment sandbox environments from critical infrastructure networks
6. Implement strict access controls on SbieSvc service
DETECTION RULES:
1. Monitor for SbieSvc crashes or unexpected service restarts
2. Alert on NamedPipeServer::OpenHandler exceptions or access violations
3. Track unusual named pipe creation patterns from sandboxed processes
4. Monitor for SYSTEM-level process spawning from sandboxed contexts
5. Log all Sandboxie configuration changes and service modifications
6. Implement EDR rules detecting stack overflow exploitation patterns
الإجراءات الفورية:
1. تحديد جميع الأنظمة التي تقوم بتشغيل Sandboxie-Plus الإصدارات 1.17.2 أو أقدم باستخدام أدوات جرد الأصول والكشف عن نقاط النهاية
2. عزل الأنظمة المتأثرة عن الشبكات الحرجة إذا كانت تعالج محتوى غير موثوق أو تقوم بتحليل البرامج الضارة
3. تعطيل خدمات Sandboxie-Plus على الأنظمة غير الأساسية حتى اكتمال التصحيح
4. مراقبة خدمة SbieSvc للأعطال أو الإيقافات غير المتوقعة
إرشادات التصحيح:
1. الترقية إلى Sandboxie-Plus الإصدار 1.17.3 أو أحدث فوراً عند توفره
2. التحقق من نشر التصحيح عبر جميع نقاط النهاية المتأثرة
3. اختبار التصحيحات في بيئات غير الإنتاج أولاً
4. تنفيذ طرح مرحلي للأنظمة الحرجة
الضوابط البديلة (إذا تأخر التصحيح):
1. تقييد استخدام Sandboxie-Plus للتطبيقات الموثوقة فقط
2. تعطيل الاتصال عبر الأنابيب المسماة بين العمليات المحصورة والمضيفة حيث أمكن
3. تنفيذ قائمة بيضاء للتطبيقات لمنع تنفيذ الأكواد غير الموثوقة
4. تشغيل Sandboxie-Plus في الوضع المقروء فقط للعمليات غير الأساسية
5. فصل بيئات الحماية عن شبكات البنية التحتية الحرجة
6. تنفيذ ضوابط وصول صارمة على خدمة SbieSvc
قواعد الكشف:
1. مراقبة أعطال SbieSvc أو إعادة تشغيل الخدمة غير المتوقعة
2. التنبيه على استثناءات NamedPipeServer::OpenHandler أو انتهاكات الوصول
3. تتبع أنماط إنشاء الأنابيب المسماة غير العادية من العمليات المحصورة
4. مراقبة توليد العمليات على مستوى SYSTEM من السياقات المحصورة
5. تسجيل جميع تغييرات تكوين Sandboxie وتعديلات الخدمة
6. تنفيذ قواعد EDR للكشف عن أنماط استغلال تجاوز المكدس