Zarfのアーカイブ内のシンボリックリンクのターゲットは、github.com/zarf-dev/zarfにおいて宛先ディレクトリに対して検証されていません

この脆弱性は、攻撃者がZarfのアーカイブ処理の過程で悪意のあるシンボリックリンクを挿入することで、システム上の任意のファイルの上書きを可能にする可能性があります。これにより、重要な設定ファイルが改ざんされたり、実行可能なファイルが置き換えられたりするリスクがあります。攻撃者は、Zarfの機能を悪用して、システム全体のセキュリティを侵害する可能性があります。特に、Zarfが特権で実行されている場合、影響はより深刻になります。この脆弱性の悪用により、機密情報の漏洩や、システムの完全な制御喪失につながる可能性があります。

Organizations heavily reliant on Zarf for Kubernetes application deployment are at significant risk. This includes teams using Zarf in CI/CD pipelines, those deploying applications to production environments, and those with limited security controls around file integrity. Shared hosting environments utilizing Zarf are particularly vulnerable due to the potential for cross-tenant exploitation.

• go / binary: Monitor for unusual file creation or modification within the Zarf deployment directory. Use find /path/to/zarf -type f -mmin -60 to identify recently modified files. • generic web: Inspect Zarf deployment archives for suspicious symlinks using tar -tvf archive.tar | grep '^l' to identify symbolic links. • linux / server: Use ls -l within the Zarf deployment directory to check for unexpected symlinks pointing outside the intended directory.

1. 2026-03-10Disclosure

   disclosure

1. 予約済み2026-03-03
2. 公開日2026-03-10
3. 更新日2026-03-23
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Zarfをバージョン0.73.1にアップデートすることです。アップデートがすぐに適用できない場合は、アーカイブの処理を一時的に停止するか、信頼できるソースからのアーカイブのみを処理するように制限してください。また、Zarfが実行されている環境のアクセス制御を強化し、不要な権限を削除することも有効です。WAFやIDS/IPSなどのセキュリティ対策を導入し、悪意のあるシンボリックリンクの挿入を検知・防御することも検討してください。