kaniko possui travessia de caminho de arquivo em seu processo de extração do contexto de build, permitindo a escrita de arquivos fora dos diretórios de destino em github.com/chainguard-dev/kaniko

A exploração bem-sucedida desta vulnerabilidade permite que um atacante grave arquivos arbitrários no sistema de arquivos do host, potencialmente sobrescrevendo arquivos de configuração críticos, executando código malicioso ou obtendo acesso não autorizado a dados confidenciais. O impacto pode variar dependendo das permissões do usuário que executa o build do Kaniko e da configuração do ambiente. Em cenários de integração contínua (CI/CD), um atacante poderia comprometer todo o pipeline de build, injetando código malicioso em imagens de contêiner que são subsequentemente implantadas em produção. A gravidade é alta devido ao potencial de acesso não autorizado e comprometimento do sistema.

Organizations heavily reliant on Kaniko for automated container image builds, particularly those using it within CI/CD pipelines, are at significant risk. Shared hosting environments where multiple users build images using a shared Kaniko instance are also vulnerable, as a malicious build from one user could potentially impact other users' images or the host system itself. Legacy Kaniko deployments using older versions are particularly susceptible.

• go / kaniko: Inspect build scripts and Dockerfiles for unusual file paths or references to external directories. Use go vet to scan Kaniko source code for potential path traversal vulnerabilities. • linux / server: Monitor build logs for unexpected file creation or modification in sensitive directories. Use auditd to track file access events within the Kaniko build environment.

auditctl -w /path/to/kaniko/build/directory -p wa -k kaniko_build

• generic web: If Kaniko is integrated into a web application, monitor access logs for requests containing suspicious path traversal sequences in the build context parameters.

grep '..\/' /var/log/nginx/access.log

1. 2026-03-10Disclosure

   disclosure

1. Reservado2026-02-27
2. Publicada2026-03-10
3. Modificada2026-03-23
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o Kaniko para a versão 1.25.10 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, implemente controles de acesso rigorosos ao contexto de build, restringindo as permissões do usuário que executa o Kaniko. Considere a utilização de um sistema de arquivos somente leitura para o contexto de build. Monitore os logs do Kaniko em busca de atividades suspeitas, como tentativas de acesso a arquivos fora do diretório de destino. Implementar uma camada de WAF (Web Application Firewall) pode ajudar a bloquear solicitações maliciosas que tentam explorar esta vulnerabilidade.