Vulnerabilidad en melange de Chainguard-dev (CVE-2026-24843)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-22 Limitación incorrecta de nombre de ruta a un directorio restringido (Path Traversal)

Fecha de publicación:

04/02/2026

Última modificación:

18/02/2026

Descripción

melange permite a los usuarios construir paquetes apk utilizando pipelines declarativos. En las versiones 0.11.3 hasta antes de la 0.40.3, un atacante que puede influir en el flujo tar desde una VM invitada de QEMU podría escribir archivos fuera del directorio de espacio de trabajo previsto en el host. La función retrieveWorkspace extrae entradas tar sin validar que las rutas permanezcan dentro del espacio de trabajo, permitiendo el salto de ruta a través de secuencias ../. Este problema ha sido parcheado en la versión 0.40.3.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.20 ALTA
Vector: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:N/I:H/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto