kaniko présente une vulnérabilité de parcours de chemin d'archive tar lors de l'extraction du contexte de construction, permettant des écritures de fichiers en dehors des répertoires de destination dans github.com/chainguard-dev/kaniko

Un attaquant exploitant cette vulnérabilité peut potentiellement écrire des fichiers arbitraires sur le système hôte où Kaniko est en cours d'exécution. Cela pourrait permettre de compromettre le système, d'exécuter du code malveillant, ou de voler des informations sensibles. L'impact est significatif car Kaniko est souvent utilisé dans des pipelines CI/CD automatisés, ce qui pourrait permettre à un attaquant de compromettre l'ensemble du processus de construction d'images Docker. L'exploitation réussie pourrait mener à une exécution de code à distance (RCE) si l'attaquant peut contrôler le contenu des fichiers écrits.

Organizations heavily reliant on Kaniko for automated container image builds, particularly those using it within CI/CD pipelines, are at significant risk. Shared hosting environments where multiple users build images using a shared Kaniko instance are also vulnerable, as a malicious build from one user could potentially impact other users' images or the host system itself. Legacy Kaniko deployments using older versions are particularly susceptible.

• go / kaniko: Inspect build scripts and Dockerfiles for unusual file paths or references to external directories. Use go vet to scan Kaniko source code for potential path traversal vulnerabilities. • linux / server: Monitor build logs for unexpected file creation or modification in sensitive directories. Use auditd to track file access events within the Kaniko build environment.

auditctl -w /path/to/kaniko/build/directory -p wa -k kaniko_build

• generic web: If Kaniko is integrated into a web application, monitor access logs for requests containing suspicious path traversal sequences in the build context parameters.

grep '..\/' /var/log/nginx/access.log

1. 2026-03-10Disclosure

   disclosure

1. Réservé2026-02-27
2. Publiée2026-03-10
3. Modifiée2026-03-23
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Kaniko vers la version 1.25.10 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures d'atténuation peuvent être mises en place. Il est crucial de restreindre les accès au contexte de construction de Kaniko et de s'assurer que seuls les fichiers nécessaires sont présents. Envisagez également de mettre en œuvre des contrôles d'intégrité des fichiers pour détecter toute modification non autorisée. Une analyse statique du code source de Kaniko peut aider à identifier d'autres potentielles vulnérabilités.