CVE-2026-28406

Nome do Software Vulnerável e Versões Afetadas kaniko versões 1.25.4 a 1.25.9

Descrição O kaniko é uma ferramenta utilizada para construir imagens de contêiner a partir de um Dockerfile dentro de um contêiner ou cluster Kubernetes. Versões de 1.25.4 até, porém não incluindo, a 1.25.10 tratam incorretamente a extração de arquivos de contexto de build. Especificamente, a função filepath.Join(dest, cleanedName) não restringe adequadamente os arquivos extraídos ao diretório de destino pretendido (dest). Isso permite que um arquivo malicioso inclua entradas como ../outside.txt, as quais podem escapar do diretório raiz de extração e gravar arquivos fora do diretório designado. Em ambientes onde a autenticação do registro está habilitada, isso pode potencialmente levar à execução de código dentro do processo executor do kaniko ao combinar esse problema com os auxiliares de credenciais do Docker.

Recomendações Atualize para a versão 1.25.10 do kaniko ou superior.