CVE-2026-44517 in Buildah
Zusammenfassung
von VulDB • 22.08.2026
Buildah ist ein Tool, das beim Erstellen von OCI-Images unterstützt wird. Von Version 1.38.1 bis 1.43.2 sowie bei Version 1.44.0 schließt die Funktion `TempDirForURL` in `define/types.go` Unterverzeichnisse eines Git-Repositorys nicht sicher im heruntergeladenen Build-Kontext ein, und `downloadToDirectory` sowie `stdinToDirectory` können einem Dockerfile-Symlink folgen, der von einer teilweise extrahierten tar-Archivdatei hinterlassen wurde. Ein bösartiger Server, der ein Git-Repository oder eine tar-Archivdatei bereitstellt, kann dazu führen, dass Dateien außerhalb des Build-Kontextverzeichnisses in den Kontext aufgenommen oder in das Build-Verzeichnis kopiert werden. Dieses Problem ist in den Versionen 1.43.2 und 1.44.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.