Tar extraction in moby/go-archive can write outside the destination directory via link following
The tar extraction routines in moby/go-archive (Unpack, UnpackLayer, Untar/UntarUncompressed, and the ApplyLayer helpers) do not confine filesystem operations to the destination directory. The extractor decides where each archive entry lands using lexical string checks and then performs the filesystem operation on a path that is resolved by the OS, so links introduced by the archive can be followed out of the destination directory. An attacker who controls the contents of an archive can create or overwrite files at arbitrary paths writable by the extracting process.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
go-archive
Fornecedor
moby
Produto
go-archive
Plataformas
Desconhecido
Status padrão
unaffected
Pacote
github.com/moby/go-archive
go-archive · Fatos de produtos e versões por escopo
Versão (version)
Status (status)
Esquema de versões (versionType)
Fim exclusivo (lessThan)
Fim inclusivo (lessThanOrEqual)
Mudanças de status (at → status)
0
affected
semver
0.3.0
Indisponível
Nenhuma listada
Docker Sandboxes
Fornecedor
Docker
Produto
Docker Sandboxes
Plataformas
MacOS
Linux
Windows
Status padrão
unaffected
Docker Sandboxes · Fatos de produtos e versões por escopo
Versão (version)
Status (status)
Esquema de versões (versionType)
Fim exclusivo (lessThan)
Fim inclusivo (lessThanOrEqual)
Mudanças de status (at → status)
0
affected
semver
0.38.0
Indisponível
Nenhuma listada
Docker Desktop
Fornecedor
Docker
Produto
Docker Desktop
Plataformas
MacOS
Linux
Windows
Status padrão
unaffected
Docker Desktop · Fatos de produtos e versões por escopo
Versão (version)
Status (status)
Esquema de versões (versionType)
Fim exclusivo (lessThan)
Fim inclusivo (lessThanOrEqual)
Mudanças de status (at → status)
0
affected
semver
4.86.0
Indisponível
Nenhuma listada
Docker Engine
Fornecedor
Docker
Produto
Docker Engine
Plataformas
MacOS
Linux
Windows
Status padrão
unaffected
Docker Engine · Fatos de produtos e versões por escopo
Versão (version)
Status (status)
Esquema de versões (versionType)
Fim exclusivo (lessThan)
Fim inclusivo (lessThanOrEqual)
Mudanças de status (at → status)
0
affected
semver
29.7.0
Indisponível
Nenhuma listada
Docker CLI
Fornecedor
Docker
Produto
Docker CLI
Plataformas
MacOS
Linux
Windows
Status padrão
unaffected
Docker CLI · Fatos de produtos e versões por escopo
Versão (version)
Status (status)
Esquema de versões (versionType)
Fim exclusivo (lessThan)
Fim inclusivo (lessThanOrEqual)
Mudanças de status (at → status)
0
affected
semver
29.7.0
Indisponível
Nenhuma listada
Docker Compose
Fornecedor
Docker
Produto
Docker Compose
Plataformas
MacOS
Linux
Windows
Status padrão
unaffected
Docker Compose · Fatos de produtos e versões por escopo