CVE-2026-77156 Recorrido de directorios en la extracción de tar de ast-cli en Linux y macOS

Qué es CVE-2026-77156

La validación incompleta de las rutas de las entradas extraídas en la lógica de extracción de tar de ast-cli en Linux y macOS (usada al instalar el motor en tiempo real Vorpal ASCA y el SCA Resolver) permitiría que un archivo tar malicioso con entradas de ruta absolutas o de recorrido escriba archivos fuera del directorio de instalación. Las compilaciones de Windows no estaban afectadas. La explotación requería sustituir el archivo servido en "download.checkmarx.com". La extracción ahora valida que la ruta de…

Productos y versiones afectadas

• Checkmarx github.com/checkmarx/ast-cli

  • hasta antes de 2.3.51

Qué hacer

1. Verificá si usás github.com/checkmarx/ast-cli y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.4 MEDIA

CVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Requerida

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

CVSS 4.0 · 6.3 MEDIA

CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Pasiva

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Ninguna

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Alta

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Alta

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Alta

Abrir la calculadora completa →

Descripción original

Incomplete validation of extracted archive entry paths in ast-cli's tar extraction logic on Linux and macOS (used when installing the Vorpal ASCA real-time engine and the SCA Resolver) would allow a malicious tar archive containing absolute or traversal path entries to write files outside the install directory. Windows builds were not affected, as the Windows extractor performs this path validation. Exploitation required substituting the archive served at "download.checkmarx.com". An attacker able to compromise that server and replace the archive could write arbitrary, executable files to arbitrary filesystem paths via this path traversal. Extraction now validates that each entry's destination path resolves within the working directory and rejects absolute paths.

Referencias

• github.com/Checkmarx/ast-cliPRODUCT
• github.com/Checkmarx/ast-cli/security/advisories/GHSA-9gff-3q53-q75xVENDOR-ADVISORY

Historial de la alerta

1. 22 OCT · 16:42VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.