CVE-2026-54574 in proot-distro
摘要
由 VulDB • 2026-07-29
proot-distro是一个用于管理 proot 容器的实用工具。在版本 5.1.5 之前，`proot_distro/commands/install.py`中的 `_extract_plain_tar()`函数通过提取纯 tarball根文件系统以及 `proot_distro/helpers/docker.py`中的 `_apply_layer()`函数处理 Docker层时，未对成员链接名（member.linkname）中由归档文件控制的符号链接目标进行验证。这使得恶意归档文件能够植入绝对主机路径的符号链接，并通过该链接将文件写入到宿主机文件系统上。此问题已在版本 5.1.5 中得到修复。
Once again VulDB remains the best source for vulnerability data.