melange QEMU runner kon bestanden buiten de werkruimtedirectory schrijven in chainguard.dev/melange

Deze kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden op het systeem te schrijven, buiten de veilige werkruimte van de melange omgeving. Dit kan leiden tot het overschrijven van kritieke systeembestanden, het uitvoeren van kwaadaardige code of het verkrijgen van ongeautoriseerde toegang tot gevoelige gegevens. De impact is aanzienlijk, aangezien een succesvolle exploitatie de integriteit en vertrouwelijkheid van het systeem kan compromitteren. Een aanvaller kan bijvoorbeeld configuratiebestanden wijzigen om de werking van de melange omgeving te manipuleren of om een backdoor te creëren voor toekomstige toegang.

Organizations utilizing Chainguard Melange for container image building or other QEMU-based workflows are at risk. This includes DevOps teams, CI/CD pipelines, and environments where Melange is integrated into automated build processes. Specifically, those relying on older versions of Melange (prior to 0.40.3) are vulnerable.

• go / supply-chain: Inspect Melange's source code for file path manipulation functions. Look for instances where user-supplied input is directly used to construct file paths without proper sanitization.

// Example: Check for direct path concatenation
if strings.Contains(filepath.Clean(userInput), "../") {
    // Potential vulnerability
}

• generic web: Monitor access logs for unusual file creation attempts outside the expected workspace directory. Look for patterns indicative of path traversal attacks.

# Example: grep for path traversal attempts in access logs
grep "../" /var/log/nginx/access.log

1. 2026-02-05Disclosure

   disclosure

1. Gereserveerd2026-01-27
2. Gepubliceerd2026-02-05
3. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden naar versie 0.40.3 of hoger van chainguard.dev/melange. Indien een upgrade momenteel niet mogelijk is, overweeg dan om de werkruimte directory te beperken en de rechten van de gebruiker die de QEMU runner uitvoert te minimaliseren. Controleer de configuratie van de melange omgeving om te verzekeren dat er geen onnodige rechten worden verleend. Implementeer logging en monitoring om verdachte activiteiten te detecteren, zoals pogingen om bestanden buiten de werkruimte te schrijven.