CVE-2026-63134 in Malcolm
要約
〜によって VulDB • 2026年08月11日
Malcolmはネットワークトラフィック分析ツールスイートです。バージョン26.07.0より前では、`safe-extract.py`はlibarchiveの安全フラグを使用してファイル抽出を保護していますが、rawな `os.makedirs(os.path.join(dest, entry.pathname))` を使用してディレクトリエントリを作成しており、パストラバーサルの防止策がありません。`../` シーケンスまたは絶対パスを含むディレクトリエントリを持つ悪意のあるアーカイブがアップロードされると、filebeat処理コンテナは意図した抽出ディレクトリの外側にディレクトリを作成します。バージョン26.07.0でこの問題が修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.