Zarf's symlink targets in archives zijn niet gevalideerd tegen de doelmap in github.com/zarf-dev/zarf

De symlink-vulnerability in Zarf stelt een aanvaller in staat om, door middel van manipulatie van symlinks in geüploade archieven, bestanden buiten de beoogde directory te schrijven. Dit kan leiden tot het overschrijven van kritieke configuratiebestanden, executables of andere gevoelige data. De impact kan variëren afhankelijk van de privileges van de Zarf-gebruiker en de configuratie van het Kubernetes-cluster. Een succesvolle exploitatie kan leiden tot een compromittering van het hele cluster, met mogelijk verlies van data, verstoring van de dienstverlening en ongeautoriseerde toegang tot gevoelige informatie. Hoewel er geen directe link is naar eerdere exploits, is het principe van symlink-manipulatie bekend en kan dit in combinatie met andere kwetsbaarheden een grotere impact hebben.

Organizations heavily reliant on Zarf for Kubernetes application deployment are at significant risk. This includes teams using Zarf in CI/CD pipelines, those deploying applications to production environments, and those with limited security controls around file integrity. Shared hosting environments utilizing Zarf are particularly vulnerable due to the potential for cross-tenant exploitation.

• go / binary: Monitor for unusual file creation or modification within the Zarf deployment directory. Use find /path/to/zarf -type f -mmin -60 to identify recently modified files. • generic web: Inspect Zarf deployment archives for suspicious symlinks using tar -tvf archive.tar | grep '^l' to identify symbolic links. • linux / server: Use ls -l within the Zarf deployment directory to check for unexpected symlinks pointing outside the intended directory.

1. 2026-03-10Disclosure

   disclosure

1. Gereserveerd2026-03-03
2. Gepubliceerd2026-03-10
3. Gewijzigd2026-03-23
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-29064 is het upgraden van Zarf naar versie 0.73.1 of hoger, waarin de validatie van symlink-doelen is verbeterd. Indien een upgrade direct niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de permissies van de Zarf-gebruiker en het implementeren van strenge directory-restricties. Controleer de geüploade archieven op verdachte symlinks voordat ze worden gebruikt. Na de upgrade, verifieer de integriteit van de installatie door een testuitvoering van Zarf uit te voeren en de logbestanden te controleren op onverwachte fouten of waarschuwingen.