CVE-2026-24686
Açıklama
go-tuf, The Update Framework (TUF) yapısının Go uygulamasıdır. go-tuf'un TAP 4 Multirepo Client bileşeni, yerel meta veri önbellek dizinini seçerken eşleme dosyası depo adı dizesini (`repoName`) bir dosya sistemi yolu bileşeni olarak kullanır. Versiyon 2.0.0 ile başlayıp versiyon 2.4.1 öncesine kadar olan sürümlerde, eğer bir uygulama güvenilmeyen bir kaynaktan gelen bir eşleme dosyasını kabul ederse, bir saldırgan dizin gezginliği içeren (örneğin `../escaped-repo`) bir `repoName` sağlayabilir ve çalışan işlemin dosya sistemi izinleri dahilinde, go-tuf'un hedeflenen `LocalMetadataDir` önbellek tabanının dışında dizinler oluşturmasına ve kök meta veri dosyasını yazmasına neden olabilir. Versiyon 2.4.1 bir yama içermektedir.
Nasıl düzeltilir
- theupdateframework go-tuf2.4.1 ya da sonraki bir sürüm
- github.com/theupdateframework/go-tuf/v22.4.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| theupdateframework go-tuf | 2.0.0 ≤ v < 2.4.1 | 2.4.1 |
| github.com/theupdateframework/go-tuf/v2Go | v < 2.4.1 | 2.4.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.