CVE-2026-79705: Podman/buildah — обход каталога через симлинки в tar при вызове от непривилегированного пользователя
В Go-пакете buildah/copier обнаружена уязвимость (CVE-2026-79705, CVSS 4.5), позволяющая специально сформированному tar-архиву с вредоносными симлинками выйти за пределы целевого каталога распаковки. Проблема затрагивает сценарии использования пакета вне Buildah от имени непривилегированного пользователя. Сам Buildah применяет chroot-изоляцию и уязвим не является.
Подробности
Уязвимость затрагивает пакет buildah/copier при его использовании вне Buildah — то есть когда он вызывается напрямую сторонними приложениями или инструментами от имени непривилегированного (non-root) пользователя. В этом сценарии отсутствует защитная изоляция, которую Buildah обеспечивает за счёт chroot, поэтому вредоносный tar-архив с хитро составленными симлинками может привести к записи файлов за пределами предполагаемого каталога распаковки (directory escape). Согласно записи CVE, уязвимости присвоен базовый балл CVSS 4.5 (MEDIUM). Важно подчеркнуть: сам Buildah использует chroot-упрочнение и в описанном сценарии не подвержен проблеме — риск возникает именно при прямом вызове пакета copier другими потребителями. В перечень затронутых продуктов входят: Red Hat Ansible Automation Platform 2, Red Hat Enterprise Linux 8, 9 и 10, Red Hat Hardened Images, Red Hat OpenShift Container Platform 4, Red Hat OpenShift Dev Spaces, Red Hat OpenShift Virtualization 4 и Red Hat Quay 3.Что делать
Основная рекомендация — отслеживать выпуск обновлений от Red Hat и производителей затронутых дистрибутивов и как можно скорее установить исправленные версии пакетов, в которых устранена некорректная обработка симлинков в copier. До момента установки патчей стоит рассмотреть временные меры: - Не запускайте инструменты на базе buildah/copier вне Buildah от имени непривилегированного пользователя для распаковки tar-архивов из недоверенных источников. - Обрабатывайте поступающие архивы только из проверенных источников и по возможности предварительно валидируйте их содержимое, включая симлинки. - Если пакет используется в собственном приложении, применяйте изоляцию распаковки (отдельный каталог, ограниченные права, контейнерные или chroot-механизмы), снижая последствия возможного выхода за пределы целевой директории. - Отслеживайте официальные бюллетени безопасности Red Hat для получения информации о версиях с исправлением. Итог: CVE-2026-79705 — умеренная по критичности уязвимость в Go-пакете buildah/copier, эксплуатируемая через вредоносные tar-симлинки при вызове вне Buildah от непривилегированного пользователя. Сам Buildah защищён chroot-изоляцией. Ключевые шаги — своевременное обновление затронутых продуктов и осторожность при распаковке недоверенных архивов.Источник: CVE Project (cvelistV5)