kaniko tiene un recorrido de ruta de archivo tar en su extracción del contexto de construcción, lo que permite escrituras de archivos fuera de los directorios de destino en github.com/chainguard-dev/kaniko

La vulnerabilidad de Path Traversal en Kaniko permite a un atacante, con acceso al proceso de construcción, manipular el sistema de archivos del host. Esto podría resultar en la escritura de archivos arbitrarios en ubicaciones no autorizadas, comprometiendo potencialmente la confidencialidad, integridad y disponibilidad del sistema. Un atacante podría, por ejemplo, sobrescribir archivos de configuración críticos, inyectar código malicioso en el sistema de archivos o incluso obtener acceso al sistema subyacente. La severidad de este impacto depende del contexto de despliegue de Kaniko y los permisos asignados al proceso de construcción.

Organizations heavily reliant on Kaniko for automated container image builds, particularly those using it within CI/CD pipelines, are at significant risk. Shared hosting environments where multiple users build images using a shared Kaniko instance are also vulnerable, as a malicious build from one user could potentially impact other users' images or the host system itself. Legacy Kaniko deployments using older versions are particularly susceptible.

• go / kaniko: Inspect build scripts and Dockerfiles for unusual file paths or references to external directories. Use go vet to scan Kaniko source code for potential path traversal vulnerabilities. • linux / server: Monitor build logs for unexpected file creation or modification in sensitive directories. Use auditd to track file access events within the Kaniko build environment.

auditctl -w /path/to/kaniko/build/directory -p wa -k kaniko_build

• generic web: If Kaniko is integrated into a web application, monitor access logs for requests containing suspicious path traversal sequences in the build context parameters.

grep '..\/' /var/log/nginx/access.log

1. 2026-03-10Disclosure

   disclosure

1. Reservado2026-02-27
2. Publicada2026-03-10
3. Modificada2026-03-23
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-28406 es actualizar Kaniko a la versión 1.25.10 o superior, que incluye la corrección de esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar controles de acceso estrictos al directorio de contexto de construcción para limitar el impacto potencial de la vulnerabilidad. Esto podría incluir la configuración de permisos de solo lectura para el directorio de contexto o el uso de un sistema de archivos con capacidades de acceso restringido. Además, se recomienda revisar y endurecer los procesos de construcción de imágenes de contenedor para minimizar la superficie de ataque.