p PatchFirst

CVE-2026-17106

CVE-2026-17106 · Tar extraction in moby/go-archive can write outside the destination directory via link following

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor decides where each archive entry lands using lexical string checks and then performs the filesystem operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of the destination directory. An attacker who controls the contents of an archive can create or overwrite files at arbitrary paths writable by the extracting process.

CVSS 7.1 · Hoch · EPSS 0,4% · Öffentlicher Exploit · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · containers

Betroffene Produkte und Versionen

  • go-archive

    Softwareversionen
    • ≥ 0, < 0.3.0: Betroffen (semver)

    Auf 0.3.0 aktualisieren

  • docker sandboxes

    Softwareversionen
    • ≥ 0, < 0.38.0: Betroffen (semver)

    Auf 0.38.0 aktualisieren

  • docker desktop

    Softwareversionen
    • ≥ 0, < 4.86.0: Betroffen (semver)

    Auf 4.86.0 aktualisieren

  • docker engine

    Softwareversionen
    • ≥ 0, < 29.7.0: Betroffen (semver)

    Auf 29.7.0 aktualisieren

  • docker cli

    Softwareversionen
    • ≥ 0, < 29.7.0: Betroffen (semver)

    Auf 29.7.0 aktualisieren

  • docker compose

    Softwareversionen
    • ≥ 0, < 5.4.0: Betroffen (semver)

    Auf 5.4.0 aktualisieren

  • golang-github-moby-go-archive Debian:14

    Softwareversionen
    • 0.2.0-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 0.3.3-1

    Auf 0.3.3-1 aktualisieren

  • docker.io Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 1.6.2~dfsg1-1ubuntu4
    • 1.10.2-0ubuntu3
    • 1.10.2-0ubuntu4
    • 1.10.3-0ubuntu1
    • 1.10.3-0ubuntu4
    • 1.10.3-0ubuntu5
    • 1.10.3-0ubuntu6
    • 1.11.2-0ubuntu5~16.04
    • 1.12.1-0ubuntu13~16.04.1
    • 1.12.3-0ubuntu4~16.04.2
    • 1.12.6-0ubuntu1~16.04.1
    • 1.13.1-0ubuntu1~16.04.2
    • 17.03.2-0ubuntu2~16.04.1
    • 18.06.1-0ubuntu1~16.04.2
    • 18.06.1-0ubuntu1.2~16.04.1
    • 18.09.2-0ubuntu1~16.04.1
    • 18.09.5-0ubuntu1~16.04.2
    • 18.09.7-0ubuntu1~16.04.1
    • 18.09.7-0ubuntu1~16.04.4
    • 18.09.7-0ubuntu1~16.04.5
    • 18.09.7-0ubuntu1~16.04.6
    • 18.09.7-0ubuntu1~16.04.7
    • 18.09.7-0ubuntu1~16.04.9+esm1
    • 18.09.7-0ubuntu1~16.04.9+esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 1.13.1-0ubuntu6
    • 17.03.2-0ubuntu1
    • 17.03.2-0ubuntu3
    • 17.03.2-0ubuntu5
    • 17.12.1-0ubuntu1
    • 18.06.1-0ubuntu1~18.04.1
    • 18.06.1-0ubuntu1.2~18.04.1
    • 18.09.2-0ubuntu1~18.04.1
    • 18.09.5-0ubuntu1~18.04.2
    • 18.09.7-0ubuntu1~18.04.1
    • 18.09.7-0ubuntu1~18.04.3
    • 18.09.7-0ubuntu1~18.04.4
    • 19.03.6-0ubuntu1~18.04.1
    • 19.03.6-0ubuntu1~18.04.2
    • 19.03.6-0ubuntu1~18.04.3
    • 20.10.2-0ubuntu1~18.04.2
    • 20.10.2-0ubuntu1~18.04.3
    • 20.10.7-0ubuntu1~18.04.1
    • 20.10.7-0ubuntu1~18.04.2
    • 20.10.7-0ubuntu5~18.04.2
    • 20.10.7-0ubuntu5~18.04.3
    • 20.10.12-0ubuntu2~18.04.1
    • 20.10.21-0ubuntu1~18.04.2
    • 20.10.21-0ubuntu1~18.04.3
    • 20.10.21-0ubuntu1~18.04.3+esm1
    • 20.10.21-0ubuntu1~18.04.3+esm2
    • 20.10.21-0ubuntu1~18.04.3+esm3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 19.03.2-0ubuntu1
    • 19.03.6-0ubuntu1
    • 19.03.8-0ubuntu1
    • 19.03.8-0ubuntu1.20.04
    • 19.03.8-0ubuntu1.20.04.1
    • 19.03.8-0ubuntu1.20.04.2
    • 20.10.2-0ubuntu1~20.04.2
    • 20.10.2-0ubuntu1~20.04.3
    • 20.10.7-0ubuntu1~20.04.1
    • 20.10.7-0ubuntu1~20.04.2
    • 20.10.7-0ubuntu5~20.04.1
    • 20.10.7-0ubuntu5~20.04.2
    • 20.10.12-0ubuntu2~20.04.1
    • 20.10.21-0ubuntu1~20.04.1
    • 20.10.21-0ubuntu1~20.04.2
    • 20.10.21-0ubuntu1~20.04.4
    • 20.10.21-0ubuntu1~20.04.5
    • 20.10.21-0ubuntu1~20.04.6
    • 20.10.21-0ubuntu1~20.04.6+esm1
    • 20.10.21-0ubuntu1~20.04.6+esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io-app Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 20.10.25-0ubuntu1~20.04.1
    • 20.10.25-0ubuntu1~20.04.2
    • 24.0.5-0ubuntu1~20.04.1
    • 24.0.7-0ubuntu2~20.04.1
    • 26.1.3-0ubuntu1~20.04.1
    • 26.1.3-0ubuntu1~20.04.1+esm1
    • 26.1.3-0ubuntu1~20.04.1+esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 20.10.7-0ubuntu5
    • 20.10.7-0ubuntu7
    • 20.10.12-0ubuntu1
    • 20.10.12-0ubuntu2
    • 20.10.12-0ubuntu3
    • 20.10.12-0ubuntu3+gke1.24.1
    • 20.10.12-0ubuntu4
    • 20.10.21-0ubuntu1~22.04.2
    • 20.10.21-0ubuntu1~22.04.3
    • 20.10.21-0ubuntu1~22.04.5
    • 20.10.21-0ubuntu1~22.04.6
    • 20.10.21-0ubuntu1~22.04.7
    • 20.10.21-0ubuntu1~22.04.7+esm1
    • 20.10.21-0ubuntu1~22.04.7+esm2
    • 20.10.21-0ubuntu1~22.04.8
    • 20.10.21-0ubuntu1~22.04.8+esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io-app Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 20.10.25-0ubuntu1~22.04.1
    • 20.10.25-0ubuntu1~22.04.2
    • 24.0.5-0ubuntu1~22.04.1
    • 24.0.7-0ubuntu2~22.04.1
    • 26.1.3-0ubuntu1~22.04.1
    • 26.1.3-0ubuntu1~22.04.1+esm1
    • 27.5.1-0ubuntu3~22.04.1
    • 27.5.1-0ubuntu3~22.04.2
    • 28.2.2-0ubuntu1~22.04.1
    • 29.1.3-0ubuntu3~22.04.1
    • 29.1.3-0ubuntu3~22.04.2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 20.10.24+dfsg1-1ubuntu2
    • 20.10.25+dfsg1-2ubuntu1
    • 20.10.25+dfsg1-2ubuntu1+esm1
    • 20.10.25+dfsg1-2ubuntu1+esm2
    • 20.10.25+dfsg1-2ubuntu1.24.04.1
    • 20.10.25+dfsg1-2ubuntu1.24.04.1+esm1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io-app Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 24.0.5-0ubuntu1
    • 24.0.7-0ubuntu1
    • 24.0.7-0ubuntu2
    • 24.0.7-0ubuntu3
    • 24.0.7-0ubuntu4
    • 24.0.7-0ubuntu4.1
    • 26.1.3-0ubuntu1~24.04.1
    • 26.1.3-0ubuntu1~24.04.1+esm1
    • 27.5.1-0ubuntu3~24.04.1
    • 27.5.1-0ubuntu3~24.04.2
    • 28.2.2-0ubuntu1~24.04.1
    • 29.1.3-0ubuntu3~24.04.1
    • 29.1.3-0ubuntu3~24.04.2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io Ubuntu:26.10

    Softwareversionen
    • 27.5.1+dfsg4-2ubuntu1
    • 28.5.2+dfsg4-5ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io-app Ubuntu:26.10

    Softwareversionen
    • 29.1.3-0ubuntu4
    • 29.1.3-0ubuntu5
    • 29.1.3-0ubuntu6
    • 29.7.2-0ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io Ubuntu:26.04:LTS

    Softwareversionen
    • 26.1.5+dfsg1-9ubuntu1
    • 27.5.1+dfsg4-1ubuntu1
    • 27.5.1+dfsg4-2ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • docker.io-app Ubuntu:26.04:LTS

    Softwareversionen
    • 28.2.2-0ubuntu1
    • 29.1.2-0ubuntu1
    • 29.1.3-0ubuntu1
    • 29.1.3-0ubuntu2
    • 29.1.3-0ubuntu3
    • 29.1.3-0ubuntu4
    • 29.1.3-0ubuntu4.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →