Los objetivos de enlace simbólico de Zarf en archivos no se validan contra el directorio de destino en github.com/zarf-dev/zarf

La vulnerabilidad de enlace simbólico en Zarf permite a un atacante crear un enlace simbólico malicioso dentro de un archivo comprimido. Cuando Zarf extrae este archivo, el enlace simbólico puede apuntar a ubicaciones arbitrarias en el sistema de archivos, permitiendo al atacante sobrescribir archivos críticos o acceder a datos sensibles. Esto podría resultar en la ejecución remota de código, la pérdida de confidencialidad, integridad o disponibilidad del sistema. El impacto es particularmente grave en entornos donde Zarf se utiliza para desplegar o gestionar aplicaciones Kubernetes, ya que un atacante podría comprometer la infraestructura subyacente.

Organizations heavily reliant on Zarf for Kubernetes application deployment are at significant risk. This includes teams using Zarf in CI/CD pipelines, those deploying applications to production environments, and those with limited security controls around file integrity. Shared hosting environments utilizing Zarf are particularly vulnerable due to the potential for cross-tenant exploitation.

• go / binary: Monitor for unusual file creation or modification within the Zarf deployment directory. Use find /path/to/zarf -type f -mmin -60 to identify recently modified files. • generic web: Inspect Zarf deployment archives for suspicious symlinks using tar -tvf archive.tar | grep '^l' to identify symbolic links. • linux / server: Use ls -l within the Zarf deployment directory to check for unexpected symlinks pointing outside the intended directory.

1. 2026-03-10Disclosure

   disclosure

1. Reservado2026-03-03
2. Publicada2026-03-10
3. Modificada2026-03-23
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-29064 es actualizar Zarf a la versión 0.73.1 o posterior, que incluye la corrección de la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar una validación estricta de las rutas de destino al extraer archivos comprimidos. Esto puede incluir el uso de listas blancas de directorios permitidos o la verificación de que la ruta de destino es relativa al directorio de extracción. Además, se debe revisar la configuración de Zarf para asegurar que los permisos de los archivos extraídos sean los más restrictivos posibles. Después de la actualización, confirme la corrección verificando que los archivos comprimidos no puedan crear enlaces simbólicos fuera del directorio de extracción esperado.