CVE-2026-119083 Escritura arbitraria de archivos en la extracción de archivos de GluonTS

Afectados

• AWS gluonts

  hasta antes de 0.17.0

Qué hacer

1. Verificá si usás gluonts y en qué versión.
2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
3. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 7.8 ALTA

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

• Vector de ataqueLocal
• Complejidad del ataqueBaja
• Privilegios requeridosNinguno
• Interacción del usuarioRequerida
• AlcanceSin cambio
• ConfidencialidadAlta
• IntegridadAlta
• DisponibilidadAlta

CVSS 4.0 · 8.4 ALTA

CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

• Vector de ataqueLocal
• Complejidad del ataqueBaja
• Requisitos del ataqueNinguno
• Privilegios requeridosNinguno
• Interacción del usuarioActiva
• Confidencialidad (sistema vulnerable)Alta
• Integridad (sistema vulnerable)Alta
• Disponibilidad (sistema vulnerable)Alta
• Confidencialidad (sistemas posteriores)Ninguna
• Integridad (sistemas posteriores)Ninguna
• Disponibilidad (sistemas posteriores)Ninguna

Descripción original

Path traversal in the archive extraction utility in GluonTS before 0.17.0 might allow an actor who supplies a crafted tar archive to write arbitrary files outside the intended extraction directory with the privileges of the extracting process via symbolic or hard links contained in the archive. To remediate this issue, users should upgrade to version 0.17.0 or later.

Referencias (3)

• github.com/awslabs/gluonts/releases/tag/v0.17.0
• aws.amazon.com/security/security-bulletins/2026-171-aws/
• github.com/awslabs/gluonts/security/advisories/GHSA-rg2m-55pr-vp3q

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.