Vulnérabilité dans proot-distro (CVE-2026-54574)
Résumé
Vulnérabilité dans proot-distro (CVE-2026-54574). Des informations confidentielles peuvent être exposées. Exploitable via member.linkname. Atténuation : mise à jour vers 5.1.5 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Repository: termux/proot-distro
Component: proot_distro/commands/install.py → _extract_plain_tar(); also helpers/docker.py → _apply_layer()
Affected Versions
| Component | Version |
|---|---|
| proot-distro | 5.0.2 (confirmed vulnerable) |
| Termux app | 0.119.0-beta.3 |
| Device / ABI | Samsung Galaxy A23 / aarch64 |
| Python (host) | 3.13 |
Vulnerability Description
proot-distro install extracts a plain tarball rootfs by calling _extract_plain_tar() in
proot_distro/commands/install.py. This function correctly rejects tar member names
containing .. components, but applies no equivalent check on symlink targets
(member.linkname). A tar archive can therefore:
- Plant a symlink inside the rootfs whose target is an absolute host path
(e.g./data/data/com.termux/files/home). - Write a subsequent regular-file member whose path traverses through that symlink name.
Python's open() follows the symlink, writing the file on the host filesystem at the
privilege level of the Termux process — entirely during proot-distro install, before the
container is ever run.
The same _extract_plain_tar function is reachable via proot-distro reset, and the
equivalent _apply_layer in helpers/docker.py contains the same flaw.
Vulnerable Code
proot_distro/commands/install.py, `_extract_plain_t…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-54574 a été découverte dans proot-distro.
Des attaquants peuvent cibler un point d'entrée spécifique comme member.linkname à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.2/10.
Action : mettez à jour proot-distro vers 5.1.5 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « proot-distro CVE-2026-54574 » sur le site de l'éditeur.
CVE-2026-54574 (proot-distro) — CWE-61 / CVSS v3 8.2
Vecteur d'attaque : local / non authentifié
Surface d'attaque : member.linkname / _extract_plain_tar / _apply_layer / rel_path
Correctif : 5.1.5 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-61) affecte proot-distro. Les attaquants atteignent le code vulnérable via member.linkname sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de proot-distro. Surface d'attaque : member.linkname / _extract_plain_tar / _apply_layer / rel_path.
Gravité : Élevée (CVSS 8.2/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 5.1.5.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'proot-distro' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
proot-distroを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade proot-distro to 5.1.5ステージング環境で 5.1.5 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory github.com
- advisory nvd.nist.gov
- package github.com
- package pypi.org
- web github.com
- web github.com
- web github.com