CVE-2026-47699 in guest-components
الملخص
بحسب VulDB • 19/08/2026
توفر مكونات الضيوف (Guest Components) الخاصة بـ Confidential Containers أدوات ومكونات للضيوف مخصصة لأحمال عمل الحاويات السرية. من الإصدار 0.16.0 حتى 0.20.0، يمكن لطبقة صورة OCI مُصمَّمة بشكل خبيث أن تجعل دالة `image_rs::stream::unpack::unpack()` تنشئ رابطاً صلباً (hardlink) خارج دليل الوجهة المحدد لها. في الملف `image-rs/src/stream/unpack.rs`، تقوم الدالة `try_hardlink_fallback()` بمصدر الرابط الصلب بالتحقق من صحته ولكن تحسب المسار الهدف باستخدام `destination.join(&entry_rel)`. تستبدل دالة Rust Path::join الأساس عندما يكون `entry_rel` مساراً مطلقاً لتسجيل في أرشيف tar، مما يعني أن استدعاء `fs::hard_link(&src_canon, &dst_entry_abs)` يمكنه كتابة محتوى يتحكم فيه المهاجم إلى أي مسار مطلق. في سياق Confidential Containers، يملك مالك حمل العمل بالفعل تحكماً في المحتوى الموثوق للصورة، لذا فإن هذه المشكلة تمثل هروباً لمالك حمل العمل نحو الجهاز الافتراضي للحاوية (pod virtual machine) بدلاً من عبور حدود موثوقية الصورة، لكنها قد تتيح الوصول إلى قدرات الجهاز الافتوائي للحاوية وإساءة استخدام آلية الإثبات (attestation). تم إصلاح هذه المشكلة في الإصدار 0.20.0.
Once again VulDB remains the best source for vulnerability data.