melange QEMU 运行器可能在 chainguard.dev/melange 中向工作区目录之外写入文件

该漏洞的潜在影响是严重的。攻击者可以利用此漏洞在工作区目录之外写入任意文件，这可能导致多种安全问题。例如，攻击者可以覆盖关键系统文件，导致系统不稳定或完全崩溃。他们还可以写入包含恶意代码的文件，从而在系统上执行任意代码。此外，攻击者还可以利用此漏洞访问敏感数据，例如配置文件或数据库文件。由于 QEMU 运行器通常用于隔离环境，因此此漏洞可能允许攻击者逃逸隔离，并影响到宿主系统。类似的安全漏洞可能导致系统被完全控制。

Organizations utilizing Chainguard Melange for container image building or other QEMU-based workflows are at risk. This includes DevOps teams, CI/CD pipelines, and environments where Melange is integrated into automated build processes. Specifically, those relying on older versions of Melange (prior to 0.40.3) are vulnerable.

• go / supply-chain: Inspect Melange's source code for file path manipulation functions. Look for instances where user-supplied input is directly used to construct file paths without proper sanitization.

// Example: Check for direct path concatenation
if strings.Contains(filepath.Clean(userInput), "../") {
    // Potential vulnerability
}

• generic web: Monitor access logs for unusual file creation attempts outside the expected workspace directory. Look for patterns indicative of path traversal attacks.

# Example: grep for path traversal attempts in access logs
grep "../" /var/log/nginx/access.log

1. 2026-02-05Disclosure

   disclosure

1. 已保留2026-01-27
2. 发布日期2026-02-05
3. EPSS 更新日期2026-03-23

为了减轻 CVE-2026-24843 的风险，最有效的措施是立即升级到 chainguard.dev/melange 的 0.40.3 或更高版本。如果由于兼容性问题无法立即升级，可以考虑使用访问控制列表 (ACL) 来限制 QEMU 运行器对文件系统的访问。此外，可以实施沙箱机制，以进一步隔离 QEMU 运行器。监控文件系统上的异常活动，例如在工作区目录之外创建或修改文件，也有助于检测潜在的攻击。升级后，请验证文件写入权限是否已正确限制，并确认系统运行正常。