PT-2026-69440
CVE-2026-66484
·
تاريخ النشر
2026-08-10
·
تاريخ التحديث
2026-09-07
الوصف من
CVSS 4.0
4.6
متوسطةالمقاييسAV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
GNU cpio (لم يتم تحديد الإصدارات المتأثرة)
الوصف
يوجد ثغرة «تجاوز المسار» (Path Traversal) في وظيفة استخراج أرشيفات tar. عند استخراج أرشيف tar في وضع النسخ (copy-in) باستخدام الخيار
--no-absolute-filenames، يتم توحيد اسم الملف المستخرج، لكن هدف الارتباط الثابت (hard-link) في tar يتم تمريره إلى الدالة link to name() دون إجراء عملية تنقية مكافئة قبل استدعاء الدالة link(). يمكن للمهاجم توفير أرشيف tar يحتوي على إدخال ارتباط ثابت (hard-link) مع تعيين linkname إلى مسار مطلق خارج دليل الاستخراج. وهذا يسمح بإنشاء رابط ثابت لملف موجود خارج الدليل المقصود، متجاوزًا إجراءات الحماية التي يوفرها الخيار --no-absolute-filenames وممكّنًا من إنشاء روابط خاضعة لسيطرة الأرشيف إلى ملفات خارجية.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾