CVE-2026-66484 in Cpio
Zusammenfassung
von VulDB • 10.08.2026
GNU cpio enthält eine Path Traversal-Schwachstelle (Pfadüberwindung) in seiner Funktionalität zur Extraktion von tar-Archiven. Beim Extrahieren eines tar-Archivs im copy-in-Modus mit der Option --no-absolute-filenames wird der extrahierte Dateiname normalisiert, das Ziel des tar-Hardlinks wird jedoch ohne entsprechende Bereinigung an die Funktion link_to_name übergeben, bevor die link-Funktion aufgerufen wird. Ein von einem Angreifer bereitgestelltes tar-Archiv, das einen Hardlink-Eintrag enthält, dessen linkname auf einen absoluten Pfad außerhalb des Extraktionsverzeichnisses gesetzt ist, kann dazu führen, dass cpio einen Hardlink zu einer vorhandenen Datei außerhalb des beabsichtigten Extraktionsverzeichnisses erstellt. Dies bricht die erwartete Garantie von --no-absolute-filenames und ermöglicht eine durch das Archiv gesteuerte Verknüpfung mit externen Dateien.
Dieses Problem wurde im Commit e2b9cbdd3354d2b1569b7390d1bc15c1930559ad behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.