melange QEMU ランナーは chainguard.dev/melange でワークスペースディレクトリ外にファイルを書き込める可能性がある

この脆弱性は、攻撃者がQEMUランナーを通じてワークスペース外のファイルシステムにアクセスし、任意のファイルを書き込むことを可能にします。これにより、機密情報（設定ファイル、認証情報など）が漏洩したり、悪意のあるコードが実行されたりする可能性があります。攻撃者は、この脆弱性を利用して、システム全体の制御を奪取し、さらなる攻撃に利用する可能性も考えられます。特に、この脆弱性は、コンテナ環境やCI/CDパイプラインなど、自動化された環境で利用されるchainguard.dev/melangeにおいて、深刻なリスクをもたらす可能性があります。

Organizations utilizing Chainguard Melange for container image building or other QEMU-based workflows are at risk. This includes DevOps teams, CI/CD pipelines, and environments where Melange is integrated into automated build processes. Specifically, those relying on older versions of Melange (prior to 0.40.3) are vulnerable.

• go / supply-chain: Inspect Melange's source code for file path manipulation functions. Look for instances where user-supplied input is directly used to construct file paths without proper sanitization.

// Example: Check for direct path concatenation
if strings.Contains(filepath.Clean(userInput), "../") {
    // Potential vulnerability
}

• generic web: Monitor access logs for unusual file creation attempts outside the expected workspace directory. Look for patterns indicative of path traversal attacks.

# Example: grep for path traversal attempts in access logs
grep "../" /var/log/nginx/access.log

1. 2026-02-05Disclosure

   disclosure

1. 予約済み2026-01-27
2. 公開日2026-02-05
3. EPSS 更新日2026-03-23

この脆弱性への対応策として、まず、chainguard.dev/melangeをバージョン0.40.3以降にアップデートすることを推奨します。アップデートが困難な場合は、QEMUランナーのアクセス権限を制限し、ワークスペースディレクトリ外へのファイル書き込みを禁止する設定を検討してください。また、WAFやIDS/IPSなどのセキュリティ対策を導入し、不正なファイルアクセスを検知・遮断することも有効です。さらに、QEMUランナーのログを監視し、異常なファイルアクセスを早期に発見できるようにすることも重要です。アップデート後、ファイル書き込み権限が適切に制限されていることを確認してください。