CVE-2026-25145
Açıklama
melange, kullanıcıların deklaratif boru hatları kullanarak apk paketleri oluşturmasına olanak tanır. 0.14.0 sürümünden 0.40.3 öncesine kadar, bir melange yapılandırma dosyasını etkileyebilen bir saldırgan (örneğin, pull request tabanlı CI veya hizmet olarak derleme senaryoları aracılığıyla), ana sistemden rastgele dosyaları okuyabilir. pkg/config/config.go içindeki LicensingInfos fonksiyonu, yolların çalışma alanı dizini içinde kaldığını doğrulamadan copyright[].license-path kısmında belirtilen lisans dosyalarını okur ve bu durum ../ dizileri aracılığıyla path traversal'a izin verir. Gezilen dosyanın içeriği, üretilen SBOM'a lisans metni olarak gömülür ve hassas verilerin derleme artifaktları üzerinden sızdırılmasına imkan tanır. Bu sorun 0.40.3 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- chainguard melange0.40.5 ya da sonraki bir sürüm
- chainguard.dev/melange0.40.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chainguard melange | 0.14.0 ≤ v < 0.40.5 | 0.40.5 |
| chainguard.dev/melangeGo | 0.14.0 ≤ v < 0.40.3 | 0.40.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.