CVE-2026-55569
Təsvir
aqua Go dilində yazılmış deklarativ komanda sətri versiya meneceridir. 2.60.1 versiyasına qədər, pkg/unarchive/archives.go faylındakı handler.HandleFile metodu hədəfin çıxarma təyinatı daxilində qaldığını yoxlamadan archives.FileInfo.LinkTarget ilə os.Symlink funksiyasını çağırır. Eyni arxiv yolunda olan sonrakı adi fayl girişi O_CREATE və O_WRONLY istifadə edərək OpenFile ilə açılır ki, bu da hücumkeş tərəfindən yerləşdirilmiş simvolik linki izləyir. Buna görə də zərərli və ya kompromisə uğramış paket arxivi, aqua-nı işlədən istifadəçinin imtiyazları ilə aqua-nın çıxarma kataloqundan kənarda hücumkeş tərəfindən idarə olunan baytları yaza bilər ki, bu da potensial olaraq shell başlatma fayllarının, alət konfiqurasiyasının və ya yazıla bilən icra edilə bilən yolların üzərinə yazılmasına səbəb ola bilər. Bu problem 2.60.1 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/aquaproj/aqua/v22.60.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/aquaproj/aqua/v2Go | v < 2.60.1 | 2.60.1 |
| github.com/aquaproj/aquaGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.