JVNDB-2026-029020

GNU Project等の複数ベンダの製品におけるリンク解釈に関する脆弱性

GNU tarに脆弱性が発見されました。--one-top-levelオプションを使用してアーカイブを展開する際、ハードリンクのターゲットは指定されたトップレベルディレクトリに限定されず、展開作業ディレクトリに相対的に解決される可能性があります。細工されたアーカイブは意図された境界を越えるハードリンクを作成でき、作業ディレクトリに既存のシンボリックリンクがある場合には、単一の展開処理中にその境界外への書き込みを許可してしまう可能性があります。

GNU Project

• GNU tar 1.35

レッドハット

• Red Hat OpenShift Container Platform 4.0
• Red Hat Enterprise Linux 10.0
• Red Hat Enterprise Linux 8.0
• Red Hat Enterprise Linux 9.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

レッドハット

• Red Hat Bugzilla : 2509843  (CVE-2026-18508) CVE-2026-18508 tar: tar: --one-top-level hardlink targets not confined to top-level directory enabling arbitrary file overwrite
• Red Hat Customer Portal : RHSA-2026:50807 - Security Advisory - Red Hat 客网站
• Red Hat Customer Portal : CVE-2026-18508 - Red Hat Customer Portal

1. リンク解釈の問題(CWE-59) [その他]

1. CVE-2026-18508

1. National Vulnerability Database (NVD) : CVE-2026-18508

• [2026年08月20日]
    掲載