CVE-2026-44517
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Buildah to narzędzie ułatwiające budowanie obrazów OCI. Od wersji 1.38.1 do 1.43.2 i 1.44.0, TempDirForURL w define/types.go nie ogranicza bezpiecznie podkatalogów repozytorium Git do pobranego kontekstu budowy, a downloadToDirectory i stdinToDirectory mogą podążać za dowiązaniem symbolicznym Dockerfile pozostawionym przez częściowo rozpakowane archiwum tar. Złośliwy serwer dostarczający repozytorium Git lub archiwum tar może spowodować, że pliki poza katalogiem kontekstu budowy zostaną uwzględnione w kontekście lub skopiowane do budowy.
Ocena ryzyka
Ryzyko obejmuje możliwość włączenia nieautoryzowanych plików do kontekstu budowy, co może prowadzić do wycieku danych lub wstrzyknięcia złośliwego kodu do obrazu. Atak wymaga dostarczenia złośliwego repozytorium lub archiwum.
Rekomendacja
Zaleca się aktualizację Buildah do wersji 1.43.2 lub 1.44.0, które zawierają poprawkę. Należy również unikać budowania obrazów z niezaufanych źródeł.
Inne podatności w Buildah
Oryginalny opis (angielski, źródło NVD)
Buildah is a tool that facilitates building OCI images. From 1.38.1 until 1.43.2 and 1.44.0, TempDirForURL in define/types.go does not securely confine Git repository subdirectories to the downloaded build context, and downloadToDirectory and stdinToDirectory can follow a Dockerfile symlink left by a partially extracted tar archive. A malicious server supplying a Git repository or tar archive can cause files outside the build context directory to be included in the context or copied into the build. This issue is fixed in versions 1.43.2 and 1.44.0.