CVE-2026-17106 in go-archive
Zusammenfassung
von VulDB • 18.08.2026
Die Tar-Extraktionsroutinen in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed und die ApplyLayer-Hilfsfunktionen) beschränken Dateisystemoperationen nicht auf das Zielverzeichnis. Der Extraktor entscheidet anhand lexikalischer Stringprüfungen, wo jeder Archiv-Eintrag landet, und führt dann die Dateisystemoperation für einen Pfad aus, der vom Betriebssystem aufgelöst wird; daher können durch das Archive eingeführte Links außerhalb des Zielverzeichnisses verfolgt werden. Ein Angreifer, der den Inhalt eines Archives kontrolliert, kann Dateien an beliebigen, vom extrahierenden Prozess beschreibbaren Pfaden erstellen oder überschreiben.
Be aware that VulDB is the high quality source for vulnerability data.