Les cibles de liens symboliques (symlink) de Zarf dans les archives ne sont pas validées par rapport au répertoire de destination dans github.com/zarf-dev/zarf

Cette vulnérabilité permet à un attaquant d'injecter des liens symboliques malveillants dans des archives traitées par Zarf. En manipulant les liens symboliques, l'attaquant peut potentiellement accéder à des fichiers sensibles en dehors du répertoire prévu, modifier des fichiers système ou exécuter du code arbitraire. L'impact peut être significatif, allant de la compromission de données confidentielles à la prise de contrôle complète du système. Bien qu'il n'y ait pas d'exploitation publique connue à ce jour, la nature de la vulnérabilité et sa sévérité élevée la rendent attrayante pour les acteurs malveillants.

Organizations heavily reliant on Zarf for Kubernetes application deployment are at significant risk. This includes teams using Zarf in CI/CD pipelines, those deploying applications to production environments, and those with limited security controls around file integrity. Shared hosting environments utilizing Zarf are particularly vulnerable due to the potential for cross-tenant exploitation.

• go / binary: Monitor for unusual file creation or modification within the Zarf deployment directory. Use find /path/to/zarf -type f -mmin -60 to identify recently modified files. • generic web: Inspect Zarf deployment archives for suspicious symlinks using tar -tvf archive.tar | grep '^l' to identify symbolic links. • linux / server: Use ls -l within the Zarf deployment directory to check for unexpected symlinks pointing outside the intended directory.

1. 2026-03-10Disclosure

   disclosure

1. Réservé2026-03-03
2. Publiée2026-03-10
3. Modifiée2026-03-23
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Zarf vers la version 0.73.1 ou ultérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre l'accès aux archives traitées par Zarf, en limitant les utilisateurs autorisés à les manipuler. Il est également recommandé de surveiller les journaux système pour détecter toute activité suspecte liée à la manipulation de fichiers ou à la création de liens symboliques inattendus. En attendant la mise à jour, une analyse approfondie des archives avant leur traitement par Zarf peut aider à identifier et à bloquer les liens symboliques malveillants.