Vulnerabilidad en malcontent de chainguard-dev (CVE-2026-24846)

malcontent descubre compromisos en la cadena de suministro a través de contexto, análisis diferencial y YARA. A partir de la versión 1.8.0 y antes de la versión 1.20.3, se podía hacer que malcontent creara enlaces simbólicos fuera del directorio de extracción previsto al escanear un archivo tar o deb especialmente diseñado. La función 'handleSymlink' recibió argumentos en el orden incorrecto, lo que provocaba que el destino del enlace simbólico se utilizara como la ubicación del enlace simbólico. Además, los destinos de los enlaces simbólicos no se validaban para asegurar que se resolvieran dentro del directorio de extracción. La versión 1.20.3 introduce correcciones que intercambian los argumentos de 'handleSymlink', validan la ubicación del enlace simbólico y validan los destinos de los enlaces simbólicos que se resuelven dentro de un directorio de extracción.