CVE-2026-54574 in proot-distro
要約
〜によって VulDB • 2026年07月29日
proot-distroは、prootコンテナを管理するためのユーティリティです。バージョン5.1.5より前では、`proot_distro/commands/install.py`内の`_extract_plain_tar()`関数を通じてプレーンなtarballのルートファイルシステムが抽出され、また`proot_distro/helpers/docker.py`内の`_apply_layer()`関数を通じてDockerレイヤーが適用されていましたが、メンバーの`linkname`におけるアーカイブ制御されたシンボリックリンクのターゲットは検証されていませんでした。これにより、悪意のあるアーカイブによって絶対パスを持つホスト側のシンボリックリンクを仕掛けられ、それを介してファイルがホストファイルシステム上に書き込まれる可能性があります。この問題はバージョン5.1.5で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.