Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOIT PÚBLICODetectada 24 OCT · 05:01

CVE-2026-17106 Escritura fuera del directorio destino en la extracción de tar de moby/go-archive

Las rutinas de extracción de tar de moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed y los helpers ApplyLayer) no confinan las operaciones de filesystem al directorio destino. El extractor decide dónde cae cada entrada mediante comprobaciones léxicas de cadenas y luego opera sobre una ruta resuelta por el sistema operativo, por lo que los enlaces introducidos por el archivo pueden seguirse fuera del directorio destino. Un atacante que controla el contenido de un archivo puede crear o sobrescribir…

7.1ALTA

CVSS 4.0

  • Probabilidad de explotación0,4 %
  • Explotada activamenteNo confirmada
  • Exploit públicoSí, 1

Afectados

  • moby go-archive

    hasta antes de 0.3.0

  • Docker Docker Sandboxes

    hasta antes de 0.38.0

  • Docker Docker Desktop

    hasta antes de 4.86.0

  • Docker Docker Engine

    hasta antes de 29.7.0

  • Docker Docker CLI

    hasta antes de 29.7.0

  • Docker Docker Compose

    hasta antes de 5.4.0

Qué hacer

  1. Verificá si usás go-archive y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Priorizá la corrección: hay código de explotación público.
  4. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

  • Vector de ataqueLocal
  • Complejidad del ataqueBaja
  • Requisitos del ataquePresentes
  • Privilegios requeridosNinguno
  • Interacción del usuarioActiva
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Alta
  • Disponibilidad (sistema vulnerable)Alta
  • Confidencialidad (sistemas posteriores)Ninguna
  • Integridad (sistemas posteriores)Ninguna
  • Disponibilidad (sistemas posteriores)Ninguna

Descripción original

The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor decides where each archive entry lands using lexical string checks and then performs the filesystem operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of the destination directory. An attacker who controls the contents of an archive can create or overwrite files at arbitrary paths writable by the extracting process.

Referencias (8)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.