CVE-2026-62268
borg extract might modify out-of-tree files when extracting maliciously crafted archives
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН
Обновите borgbackup до версии 1.4.5 или 2.0.0b22.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
В borgbackup извлечение специально сформированного архива приводит к выходу за пределы целевого каталога.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Процесс распаковки может переходить по родительским путям симлинков или разрешать встроенные компоненты «..». Для создания вредоносного архива злоумышленнику требуются доступ к репозиторию, а также ключ и парольная фраза для зашифрованных или аутентифицированных хранилищ.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Удаление или перезапись файлов вне каталога распаковки, а также раскрытие содержимого сторонних файлов через добавление жестких ссылок в восстанавливаемое дерево.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
Точные диапазоны версий не зафиксированы в источниках
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (9)
- github.comhttps://github.com/borgbackup/borg/security/advisories/GHSA-gfp8-w835-v44j
- github.comhttps://github.com/borgbackup/borg/commit/0ac568e290518c3bbe781459978720dde7fab224
- github.comhttps://github.com/borgbackup/borg/commit/141888f2fabcd57a300547c2aa63212cb213924d
- github.comhttps://github.com/borgbackup/borg/commit/2d632531028b09da8ab5d1450f89bebcc205d640
- github.comhttps://github.com/borgbackup/borg/commit/3e9ed6d1ad6d3531b39c07b8ef3ecf41fce4437f
- github.comhttps://github.com/borgbackup/borg/commit/4f37fdfed10b50559a0dd333b0d5581c642af329
- github.comhttps://github.com/borgbackup/borg/commit/d907f2cb57337041c4fa55ca4682895535e5076b
- github.comhttps://github.com/borgbackup/borg/releases/tag/1.4.5
- github.comhttps://github.com/borgbackup/borg/releases/tag/2.0.0b22
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-62268: borg extract might modify out-of-tree files when extracting maliciously crafted archives. URL: https://cve.futuretools.ru/cve/CVE-2026-62268
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_62268,
title = {{CVE-2026-62268: borg extract might modify out-of-tree files when extracting maliciously crafted archives}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-62268}},
note = {Оперативный инженерный анализ киберугроз}
}