CVE-2026-66484
ŚrednieCVSS 4.6Streszczenie
GNU cpio zawiera podatność na przechodzenie po ścieżkach w funkcji rozpakowywania archiwów tar. Podczas rozpakowywania archiwum tar w trybie copy-in z opcją --no-absolute-filenames, nazwa pliku jest normalizowana, ale cel dowiązania twardego nie jest odpowiednio sanityzowany przed wywołaniem funkcji link. Archiwum tar dostarczone przez atakującego, zawierające wpis dowiązania twardego z linkname ustawionym na ścieżkę bezwzględną poza katalogiem docelowym, może spowodować utworzenie dowiązania twardego do istniejącego pliku poza katalogiem docelowym, łamiąc gwarancję --no-absolute-filenames i umożliwiając kontrolowane przez archiwum powiązanie z plikami zewnętrznymi.
Ocena ryzyka
Atakujący może utworzyć dowiązania twarde do plików poza katalogiem docelowym, co może prowadzić do nieautoryzowanego dostępu do danych lub ich modyfikacji, naruszając integralność systemu.
Rekomendacja
Zaktualizuj GNU cpio do wersji zawierającej poprawkę (commit e2b9cbdd3354d2b1569b7390d1bc15c1930559ad) i unikaj rozpakowywania archiwów tar z nieznanych źródeł.
Oryginalny opis (angielski, źródło NVD)
GNU cpio contains a Path Traversal vulnerability in its tar archive extraction functionality. When extracting a tar archive in copy-in mode with the --no-absolute-filenames option, the extracted file name is normalized but the tar hard-link target is passed to the link_to_name function without equivalent sanitization before calling link function. A tar archive provided by an attacker, containing a hard-link entry whose linkname is set to an absolute path outside the extraction directory, can cause cpio to create a hard link to an existing file outside the intended extraction directory, breaking the expected guarantee of --no-absolute-filenames and allowing archive-controlled linkage to external files. This issue has been fixed in commit e2b9cbdd3354d2b1569b7390d1bc15c1930559ad