kaniko heeft een padtraversaal in tar-archief in zijn build context extractie, waardoor bestandsschrijfbewerkingen buiten de bestemmingsmappen mogelijk zijn in github.com/chainguard-dev/kaniko

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan leiden tot ongeautoriseerde toegang en wijziging van bestanden op het systeem waarop Kaniko draait. Een aanvaller kan bijvoorbeeld gevoelige configuratiebestanden overschrijven, malware injecteren of de integriteit van de container image aantasten. De impact kan aanzienlijk zijn, vooral in omgevingen waar Kaniko wordt gebruikt voor het bouwen van container images die vervolgens worden ingezet in productie. Dit kan leiden tot compromittering van de hele applicatie en de onderliggende infrastructuur. De mogelijkheid om bestanden buiten de build context te schrijven, opent de deur naar een breed scala aan aanvallen, vergelijkbaar met de risico's die geassocieerd worden met traditionele Path Traversal kwetsbaarheden.

Organizations heavily reliant on Kaniko for automated container image builds, particularly those using it within CI/CD pipelines, are at significant risk. Shared hosting environments where multiple users build images using a shared Kaniko instance are also vulnerable, as a malicious build from one user could potentially impact other users' images or the host system itself. Legacy Kaniko deployments using older versions are particularly susceptible.

• go / kaniko: Inspect build scripts and Dockerfiles for unusual file paths or references to external directories. Use go vet to scan Kaniko source code for potential path traversal vulnerabilities. • linux / server: Monitor build logs for unexpected file creation or modification in sensitive directories. Use auditd to track file access events within the Kaniko build environment.

auditctl -w /path/to/kaniko/build/directory -p wa -k kaniko_build

• generic web: If Kaniko is integrated into a web application, monitor access logs for requests containing suspicious path traversal sequences in the build context parameters.

grep '..\/' /var/log/nginx/access.log

1. 2026-03-10Disclosure

   disclosure

1. Gereserveerd2026-02-27
2. Gepubliceerd2026-03-10
3. Gewijzigd2026-03-23
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-28406 is het upgraden van Chainguard Kaniko naar versie 1.25.10 of hoger. Indien een upgrade direct niet mogelijk is, overweeg dan het implementeren van restricties op de build context om de impact van een potentiële exploitatie te beperken. Dit kan bijvoorbeeld door het gebruik van een read-only volume voor de build context. Het is ook raadzaam om de build context te controleren op onverwachte bestanden of directory's. Na de upgrade, verifieer de correcte werking van Kaniko door een container image te bouwen en te controleren of er geen onverwachte bestanden zijn aangemaakt buiten de beoogde doelmappen.