جزئیات آسیب‌پذیری
CVE-2025-62596
youki-dev youki
youki container escape and denial of service due to arbitrary write gadgets and procfs write redirects
CVSS 4.0
7.3بالا
شرح رسمی (انگلیسی)
Youki is a container runtime written in Rust. In versions 0.5.6 and below, youki’s apparmor handling performs insufficiently strict write-target validation, and when combined with path substitution during pathname resolution, can allow writes to unintended procfs locations. While resolving a path component-by-component, a shared-mount race can substitute intermediate components and redirect the final target. This issue is fixed in version 0.5.7.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.3بالا | 4.0 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| youki-dev | youki | < 0.5.7 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/youki-dev/youki/security/advisories/GHSA-vf95-55w6-qmrf x_refsource_CONFIRM
- https://github.com/youki-dev/youki/commit/5886c91073b9be748bd8d5aed49c4a820548030a x_refsource_MISC
- https://pkg.go.dev/github.com/cyphar/filepath-securejoin/pathrs-lite/procfs x_refsource_MISC
- https://youtu.be/tGseJW_uBB8 x_refsource_MISC
- https://youtu.be/y1PaBzxwRWQ x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۸/۱۵
- آخرین به‌روزرسانی
- ۱۴۰۴/۰۸/۱۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۲۶٪
احتمال بهره‌برداری در ۳۰ روز
۱۸٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-61UNIX Symbolic Link (Symlink) Following
- CWE-363Race Condition Enabling Link Following