OCI extraction path escape
Betroffene Pakete
pve-container, librust-proxmox-oci-dev/libpve-rs-perl
Details
Missing checks when applying whiteouts during OCI template extraction allowed an attacker to use malformed images to delete arbitrary files and directories outside of the target rootfs.
This issue was reported privately by Project Loupe, and later also reported by Apo - CSB Raccoon Labs <[email protected]>.
Behoben in
- librust-proxmox-oci-dev >= 0.2.2
- libpve-rs-perl >= 0.15.4
Diese Seite gibt den Inhalt des offiziellen Beitrags im Proxmox-Forum (öffnet in neuem Tab) wieder. Maßgeblich ist das Original. Der Text des Advisories wird so auf Englisch angezeigt, wie Proxmox ihn veröffentlicht hat.