O runner QEMU do melange poderia escrever arquivos fora do diretório de trabalho em chainguard.dev/melange

Um atacante explorando esta vulnerabilidade pode escrever arquivos em locais arbitrários no sistema de arquivos, além do diretório de trabalho esperado do chainguard.dev/melange. Isso pode levar à execução de código malicioso, modificação de arquivos de configuração críticos, ou até mesmo à tomada de controle do sistema. O impacto potencial é significativo, especialmente em ambientes onde o chainguard.dev/melange é usado para executar tarefas sensíveis ou em infraestruturas compartilhadas. A capacidade de escrever arquivos fora do ambiente isolado representa uma brecha de segurança grave, permitindo a escalada de privilégios e acesso não autorizado a dados confidenciais.

Organizations utilizing Chainguard Melange for container image building or other QEMU-based workflows are at risk. This includes DevOps teams, CI/CD pipelines, and environments where Melange is integrated into automated build processes. Specifically, those relying on older versions of Melange (prior to 0.40.3) are vulnerable.

• go / supply-chain: Inspect Melange's source code for file path manipulation functions. Look for instances where user-supplied input is directly used to construct file paths without proper sanitization.

// Example: Check for direct path concatenation
if strings.Contains(filepath.Clean(userInput), "../") {
    // Potential vulnerability
}

• generic web: Monitor access logs for unusual file creation attempts outside the expected workspace directory. Look for patterns indicative of path traversal attacks.

# Example: grep for path traversal attempts in access logs
grep "../" /var/log/nginx/access.log

1. 2026-02-05Disclosure

   disclosure

1. Reservado2026-01-27
2. Publicada2026-02-05
3. EPSS atualizado2026-03-23

A mitigação primária para CVE-2026-24843 é atualizar o chainguard.dev/melange para a versão 0.40.3 ou superior. Se a atualização imediata não for possível devido a incompatibilidades ou interrupções de serviço, considere implementar medidas de contenção, como restringir o acesso ao runner QEMU e monitorar a atividade do sistema de arquivos em busca de escrita de arquivos inesperados. Implementar regras de firewall para limitar o acesso à rede ao componente também pode ajudar a reduzir a superfície de ataque. Após a atualização, verifique se a vulnerabilidade foi corrigida executando testes de regressão para garantir que o comportamento esperado seja restaurado.