CVE-2026-29049
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Melange w wersji 0.40.5 i wcześniejszych pobiera URI z konfiguracji budowania za pomocą io.Copy bez ograniczenia rozmiaru lub limitu czasu klienta HTTP. Atakujący może kontrolować URI w konfiguracji melange, co prowadzi do nieograniczonego zapisu na dysku i wyczerpania miejsca na serwerze budowania.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku typu wyczerpanie zasobów (disk exhaustion) na serwerze CI/CD, co może zakłócić procesy budowania i spowodować awarię infrastruktury.
Rekomendacja
Należy natychmiast zaktualizować melange do wersji 0.43.4 lub nowszej, która zawiera poprawkę ograniczającą rozmiar pobieranych danych i ustawiającą limit czasu połączenia HTTP.
Inne podatności w melange
Zobacz wszystkie- CVE-2026-29051Średnie
W narzędziu melange w wersjach od 0.32.0 do przed 0.43.4 opcja --persist-lint-results buduje ścieżki plików wyjściowych z wartości arch i pkgname odczytanych z pliku .PKGINFO bez walidacji separatorów ścieżek ani sekwencji '..'. Atakujący dostarczający APK do pipeline'u lint/build może spowodować zapis pliku JSON raportu w dowolnej ścieżce osiągalnej przez proces melange. Nie ma bezpośredniej ścieżki wykonania kodu, ale można nadpisać inne artefakty JSON. Problem naprawiono w wersji 0.43.4.
- CVE-2026-29050Średnie
melange (narzędzie do budowania pakietów apk z użyciem deklaratywnych pipeline'ów) w wersjach od 0.32.0 do przed 0.43.4 pozwala atakującemu wpływającemu na plik konfiguracyjny melange ustawić pipeline[].uses na wartość zawierającą sekwencje ../ lub ścieżkę absolutną. Funkcja (*Compiled).compilePipeline w pkg/build/compile.go przekazywała uses bezpośrednio do filepath.Join(pipelineDir, uses + ".yaml") bez walidacji, więc rozwiązana ścieżka mogła wyjść poza --pipeline-dir i odczytać dowolny plik YAML widoczny dla procesu melange. Ponieważ ładowany plik jest interpretowany jako pipeline melange, a jego blok runs: jest wykonywany przez /bin/sh -c w sandboxie budowania, umożliwiało to uruchomienie poleceń powłoki z pliku spoza drzewa, omijając przegląd. Naprawiono w melange v0.43.4 (commit 5829ca4).
Oryginalny opis (angielski, źródło NVD)
melange allows users to build apk packages using declarative pipelines. In version 0.40.5 and prior, melange update-cache downloads URIs from build configs via io.Copy without any size limit or HTTP client timeout (pkg/renovate/cache/cache.go). An attacker-controlled URI in a melange config can cause unbounded disk writes, exhausting disk on the build runne. Version 0.43.4 contains a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS