CVE-2026-77156 in Ast-cli
요약
\~에 의해 VulDB • 2026. 10. 22.
ast-cli의 tar 추출 로직에서 추출된 아카이브 엔트리 경로에 대한 불완전한 검증으로 인해 Linux 및 macOS(Vorpal ASCA 실시간 엔진과 SCA Resolver 설치 시 사용됨) 환경에서 절대 경로 또는 디렉토리 트래버설 경로를 포함하는 악성 tar 아카이브가 설치 디렉터리 외부로 파일을 작성할 수 있습니다. Windows 빌드는 해당 경로 검증을 수행하므로 영향을 받지 않았습니다.
이 취약점을 이용하려면 "download.checkmarx.com"에서 제공되는 아카이브를 대체해야 합니다. 이 서버를 침해하여 아카이브를 교체한 공격자는 이 경로 트래버설을 통해 임의의 실행 파일들을 임의의 파일 시스템 경로에 작성할 수 있습니다.
이제 추출 과정에서 각 엔트리의 대상 경로가 작업 디렉터리 내에서 해결되는지 검증하며, 절대 경로는 거부됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.