Buildkite Elastic CI for AWS symbolic link following vulnerability

高 7.8CVE-2023-43116 · GHSA-7c44-7j7v-w554 · 22/12/2023 公開 · 17/06/2026 更新

要点

CVE-2023-43116 は github.com/buildkite/elastic-ci-stack-for-aws/v6, elastic ci stack (buildkite) に影響する深刻度「高」 (CVSS 7.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.33%（全脆弱性の 25.6% より高い）。
対処：6.7.0, 6.7.1, 5.22.5 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/buildkite/elastic-ci-stack-for-aws/v6 Go	`< 6.7.0`	`6.7.0`
elastic ci stack buildkite	`≥ 6.0.0, < 6.7.1< 5.22.5`	`6.7.15.22.5`

概要

A symbolic link following vulnerability in Buildkite Elastic CI for AWS versions prior to 6.7.1 and 5.22.5 allows the buildkite-agent user to change ownership of arbitrary directories via the PIPELINE_PATH variable in the fix-buildkite-agent-builds-permissions script.

NVD の説明