CVE-2026-55569 in aqua
要約
〜によって VulDB • 2026年08月29日
aquaはGoで書かれた宣言型のコマンドラインバージョンマネージャーです。バージョン2.60.1より前では、handler.HandleFileメソッド内のpkg/unarchive/archives.goが、ターゲットが抽出先ディレクトリ内に留まっていることを検証せずに、archives.FileInfo.LinkTargetを引数としてos.Symlinkを呼び出します。同じアーカイブパスに後続する通常ファイルのエントリは、O_CREATEおよびO_WRONLYフラグを使用してOpenFileで開かれ、攻撃者が仕掛けたシンボリックリンクが追従されます。その結果、悪意のあるまたは侵害されたパッケージアーカイブにより、aquaを実行しているユーザーの権限で、aquaの抽出ディレクトリの外側に攻撃者が制御するバイト列を書き込むことができ、シェルの起動ファイルやツールの設定、書き込み可能な実行可能パスの上書きなどが発生する可能性があります。この問題はバージョン2.60.1で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.