kanikoにおいて、ビルドコンテキストの抽出時にtarアーカイブのパストラバーサル脆弱性があり、github.com/chainguard-dev/kaniko内の宛先ディレクトリ外へのファイル書き込みを可能にする

このパス・トラバーサル脆弱性は、攻撃者がコンテナイメージのビルドプロセスを完全に制御できる可能性を示唆しています。攻撃者は、機密情報を盗み出したり、悪意のあるコードをコンテナイメージに挿入したりする可能性があります。これにより、コンテナ化されたアプリケーションのセキュリティが損なわれ、システム全体への影響が拡大する可能性があります。特に、CI/CDパイプラインにKanikoを使用している環境では、攻撃者がビルドプロセスを乗っ取り、悪意のあるイメージを本番環境にデプロイするリスクがあります。この脆弱性は、類似のファイルシステム操作の脆弱性と同様に、深刻なセキュリティインシデントを引き起こす可能性があります。

Organizations heavily reliant on Kaniko for automated container image builds, particularly those using it within CI/CD pipelines, are at significant risk. Shared hosting environments where multiple users build images using a shared Kaniko instance are also vulnerable, as a malicious build from one user could potentially impact other users' images or the host system itself. Legacy Kaniko deployments using older versions are particularly susceptible.

• go / kaniko: Inspect build scripts and Dockerfiles for unusual file paths or references to external directories. Use go vet to scan Kaniko source code for potential path traversal vulnerabilities. • linux / server: Monitor build logs for unexpected file creation or modification in sensitive directories. Use auditd to track file access events within the Kaniko build environment.

auditctl -w /path/to/kaniko/build/directory -p wa -k kaniko_build

• generic web: If Kaniko is integrated into a web application, monitor access logs for requests containing suspicious path traversal sequences in the build context parameters.

grep '..\/' /var/log/nginx/access.log

1. 2026-03-10Disclosure

   disclosure

1. 予約済み2026-02-27
2. 公開日2026-03-10
3. 更新日2026-03-23
4. EPSS 更新日2026-03-23

この脆弱性に対する最も効果的な対策は、Kanikoをバージョン1.25.10以降にアップデートすることです。アップデートがすぐに利用できない場合、ビルドコンテキストの入力検証を強化することで、攻撃者がパス・トラバーサル攻撃を実行するのを防ぐことができます。また、WAFやプロキシを使用して、悪意のあるリクエストをブロックすることも有効です。コンテナイメージのビルドプロセスを厳格に監視し、異常なファイルシステム操作を検出するためのログ監視ルールを実装することも重要です。アップデート後、ファイルシステムアクセス権限を検証し、意図しないファイルへの書き込みがないことを確認してください。