El ejecutor QEMU de melange podría escribir archivos fuera del directorio de trabajo en chainguard.dev/melange

La vulnerabilidad en chainguard.dev/melange permite a un atacante, con acceso al runner de QEMU, escribir archivos en ubicaciones arbitrarias fuera del directorio de trabajo designado. Esto significa que un atacante podría, por ejemplo, sobrescribir archivos de configuración críticos del sistema, inyectar código malicioso en archivos ejecutables o incluso comprometer otros sistemas en la red si el runner tiene acceso a ellos. El impacto potencial es significativo, ya que un atacante podría obtener control total sobre el sistema afectado. La capacidad de escribir archivos fuera del directorio de trabajo elimina las protecciones de sandbox que normalmente se espera que proporcione el runner de QEMU, abriendo la puerta a una amplia gama de ataques.

Organizations utilizing Chainguard Melange for container image building or other QEMU-based workflows are at risk. This includes DevOps teams, CI/CD pipelines, and environments where Melange is integrated into automated build processes. Specifically, those relying on older versions of Melange (prior to 0.40.3) are vulnerable.

• go / supply-chain: Inspect Melange's source code for file path manipulation functions. Look for instances where user-supplied input is directly used to construct file paths without proper sanitization.

// Example: Check for direct path concatenation
if strings.Contains(filepath.Clean(userInput), "../") {
    // Potential vulnerability
}

• generic web: Monitor access logs for unusual file creation attempts outside the expected workspace directory. Look for patterns indicative of path traversal attacks.

# Example: grep for path traversal attempts in access logs
grep "../" /var/log/nginx/access.log

1. 2026-02-05Disclosure

   disclosure

1. Reservado2026-01-27
2. Publicada2026-02-05
3. EPSS actualizado2026-03-23

La mitigación principal para el CVE-2026-24843 es actualizar a la versión 0.40.3 de chainguard.dev/melange. Si la actualización no es inmediatamente posible, considere implementar medidas de seguridad adicionales, como restringir el acceso al runner de QEMU a usuarios y sistemas confiables. Además, se recomienda revisar los permisos de los archivos y directorios relacionados con el runner para asegurarse de que solo los usuarios autorizados tengan acceso de escritura. Si se sospecha de una intrusión, se debe realizar una revisión exhaustiva del sistema para identificar y eliminar cualquier archivo malicioso que pueda haber sido escrito.