Zarf 的归档文件中的符号链接目标未针对 github.com/zarf-dev/zarf 中的目标目录进行验证。

此漏洞的影响非常严重，攻击者可以利用它在目标系统上写入任意文件。如果攻击者能够将符号链接指向关键系统文件或可执行文件，他们可能能够完全控制该系统。例如，攻击者可以将符号链接指向 /etc/passwd 文件，并修改其内容，从而获取系统管理员权限。此外，攻击者还可以利用此漏洞在目标系统上植入恶意代码，并在系统启动时自动执行。由于 Zarf 通常用于 Kubernetes 集群的管理，因此该漏洞可能导致整个集群受到威胁，造成广泛的破坏。

Organizations heavily reliant on Zarf for Kubernetes application deployment are at significant risk. This includes teams using Zarf in CI/CD pipelines, those deploying applications to production environments, and those with limited security controls around file integrity. Shared hosting environments utilizing Zarf are particularly vulnerable due to the potential for cross-tenant exploitation.

• go / binary: Monitor for unusual file creation or modification within the Zarf deployment directory. Use find /path/to/zarf -type f -mmin -60 to identify recently modified files. • generic web: Inspect Zarf deployment archives for suspicious symlinks using tar -tvf archive.tar | grep '^l' to identify symbolic links. • linux / server: Use ls -l within the Zarf deployment directory to check for unexpected symlinks pointing outside the intended directory.

1. 2026-03-10Disclosure

   disclosure

1. 已保留2026-03-03
2. 发布日期2026-03-10
3. 修改日期2026-03-23
4. EPSS 更新日期2026-03-23

缓解此漏洞的最佳方法是立即升级到 Zarf 0.73.1 或更高版本。如果由于兼容性问题无法立即升级，可以考虑以下临时缓解措施：首先，限制 Zarf 能够访问的文件和目录，只允许其访问必要的文件。其次，实施严格的文件访问控制策略，确保只有授权用户才能修改关键系统文件。第三，监控 Zarf 的日志文件，查找任何可疑活动，例如尝试写入非预期位置的文件。最后，如果可能，使用安全扫描工具扫描 Zarf 归档文件，检测是否存在恶意符号链接。