CVE-2026-17106

Tar extraction in moby/go-archive can write outside the destination directory via link following

CVSS 3.1High

7.1/ 10.0

Опубликовано

18 августа 2026 г.

Обновлено

19 августа 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.3.0, 0.38.0, 4.86.0, 29.7.0, 5.4.0

Обновите зависимость moby/go-archive до версий с безопасной изоляцией путей на базе системных дескрипторов каталогов (openat/RESOLVE_BENEATH).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Выход за пределы целевой директории при распаковке tar-архивов в moby/go-archive через разыменование ссылок. Позволяет создавать и перезаписывать произвольные файлы на хосте.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Функции распаковки (Unpack, UnpackLayer, Untar, UntarUncompressed, хелперы ApplyLayer) валидируют пути записей архива только лексически строковыми проверками, после чего передают неизолированный путь в системные вызовы ОС. В результате переход по символическим и жестким ссылкам архива выходит за границы целевого каталога.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Создание или перезапись произвольных файлов в файловой системе с правами процесса, выполняющего распаковку (произвольная запись файлов).

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

mobygo-archive

>= 0➔Fix: 0.3.0

DockerDocker Sandboxes

>= 0➔Fix: 0.38.0

DockerDocker Desktop

>= 0➔Fix: 4.86.0

DockerDocker Engine

>= 0➔Fix: 29.7.0

DockerDocker CLI

>= 0➔Fix: 29.7.0

DockerDocker Compose

>= 0➔Fix: 5.4.0

——

>= 0➔Fix: 0.3.0

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (11)

github.comhttps://github.com/moby/go-archive/security/advisories/GHSA-hfg8-hc9c-6c3h
docs.docker.comhttps://docs.docker.com/desktop/release-notes/#4860
github.comhttps://github.com/docker/sbx-releases/releases/tag/v0.38.0
docs.docker.comhttps://docs.docker.com/engine/release-notes/29/#2970
github.comhttps://github.com/docker/cli/releases/tag/v29.7.0
github.comhttps://github.com/docker/compose/releases/tag/v5.4.0
github.comhttps://github.com/moby/go-archive/releases/tag/v0.3.0
github.comhttps://github.com/686f6c61/POC-CopyEscape-CVE-2026-17106
github.comhttps://github.com/CompleTech-Security/copyescape-check
github.comhttps://github.com/HackSpeak/CVE-2026-17106
github.comhttps://github.com/masasron/CopyEscape-CVE-2026-17106

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-17106: Tar extraction in moby/go-archive can write outside the destination directory via link following. URL: https://cve.futuretools.ru/cve/CVE-2026-17106

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_17106,
  title = {{CVE-2026-17106: Tar extraction in moby/go-archive can write outside the destination directory via link following}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-17106}},
  note = {Оперативный инженерный анализ киберугроз}
}