Unsafe tar unpacking in HashiCorp go-slug

高 7.5CVE-2020-29529 · GHSA-2g5j-5x95-r6hr · GO-2021-0094 · 03/12/2020 公開 · 17/06/2026 更新

要点

CVE-2020-29529 は github.com/hashicorp/go-slug, go-slug (hashicorp) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.8%（全脆弱性の 86.6% より高い）。
対処：0.5.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/hashicorp/go-slug Go	`< 0.5.0`	`0.5.0`
go-slug hashicorp	`< 0.5.0`	`0.5.0`

概要

HashiCorp go-slug before 0.5.0 does not address attempts at directory traversal involving ../ and symlinks.

NVD の説明

HashiCorp go-slug up to 0.4.3 did not fully protect against directory traversal while unpacking tar archives, and protections could be bypassed with specific constructions of multiple symlinks. Fixed in 0.5.0.