Le runner QEMU de melange pourrait écrire des fichiers en dehors du répertoire de travail dans chainguard.dev/melange

Cette vulnérabilité représente un risque significatif car elle permet à un attaquant de contourner les mesures de sécurité et d'écrire des fichiers arbitraires sur le système hôte. Un attaquant pourrait potentiellement exécuter du code malveillant, compromettre des données sensibles ou prendre le contrôle du système. L'impact est amplifié si le runner QEMU est utilisé dans un environnement de production ou pour exécuter des charges de travail non fiables. Bien que le runner QEMU soit conçu pour isoler les environnements, cette faille d'écriture de fichier permet de briser cette isolation et d'affecter le système sous-jacent. L'exploitation réussie pourrait mener à une compromission complète du système.

Organizations utilizing Chainguard Melange for container image building or other QEMU-based workflows are at risk. This includes DevOps teams, CI/CD pipelines, and environments where Melange is integrated into automated build processes. Specifically, those relying on older versions of Melange (prior to 0.40.3) are vulnerable.

• go / supply-chain: Inspect Melange's source code for file path manipulation functions. Look for instances where user-supplied input is directly used to construct file paths without proper sanitization.

// Example: Check for direct path concatenation
if strings.Contains(filepath.Clean(userInput), "../") {
    // Potential vulnerability
}

• generic web: Monitor access logs for unusual file creation attempts outside the expected workspace directory. Look for patterns indicative of path traversal attacks.

# Example: grep for path traversal attempts in access logs
grep "../" /var/log/nginx/access.log

1. 2026-02-05Disclosure

   disclosure

1. Réservé2026-01-27
2. Publiée2026-02-05
3. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour chainguard.dev/melange vers la version 0.40.3 ou supérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il n'existe pas de contournement direct. Il est crucial de limiter l'accès au runner QEMU et de surveiller attentivement les activités suspectes. Une analyse des journaux d'événements peut aider à détecter les tentatives d'exploitation. Envisagez de renforcer les permissions du répertoire de travail pour limiter l'impact potentiel d'une exploitation réussie. Après la mise à jour, vérifiez l'intégrité du système et assurez-vous que les fichiers critiques n'ont pas été modifiés.