CVE-2026-66484

GNU cpio contains a Path Traversal vulnerability in its tar archive extraction functionality. When extracting a tar archive in copy-in mode with the --no-absolute-filenames option, the extracted file name is normalized but the tar hard-link target is passed to the link_to_name function without equivalent sanitization before calling link function. A tar archive provided by an attacker, containing a hard-link entry whose linkname is set to an absolute path outside the extraction directory, can cause cpio to create a hard link to an existing file outside the intended extraction directory, breaking the expected guarantee of --no-absolute-filenames and allowing archive-controlled linkage to external files. This issue has been fixed in commit e2b9cbdd3354d2b1569b7390d1bc15c1930559ad

CVSS

No CVSS.

References

Link	Resource
https://cert.pl/en/posts/2026/08/CVE-2026-66484
https://git.savannah.gnu.org/cgit/cpio.git

Configurations

No configuration.

History

23 Oct 2026, 20:10

Type	Values Removed	Values Added
Summary		(es) GNU cpio contiene una vulnerabilidad de salto de ruta en su funcionalidad de extracción de archivos tar. Al extraer un archivo tar en modo de copia de entrada (copy-in mode) con la opción --no-absolute-filenames, el nombre del archivo extraído se normaliza, pero el objetivo del enlace duro (hard-link target) de tar se pasa a la función link_to_name sin una sanitización equivalente antes de llamar a la función link. Un archivo tar proporcionado por un atacante, que contiene una entrada de enlace duro (hard-link entry) cuyo linkname está configurado a una ruta absoluta fuera del directorio de extracción, puede hacer que cpio cree un enlace duro a un archivo existente fuera del directorio de extracción previsto, rompiendo la garantía esperada de --no-absolute-filenames y permitiendo el enlace controlado por el archivo a archivos externos. Este problema ha sido solucionado en el commit e2b9cbdd3354d2b1569b7390d1bc15c1930559ad

Information

Published : 2026-08-10 11:17

Updated : 2026-10-24 16:10

NVD link : CVE-2026-66484

Mitre link : CVE-2026-66484

CVE.ORG link : CVE-2026-66484

JSON object : View

Products Affected

No product.

CWE

CWE-22

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

{"id": "CVE-2026-66484", "cveTags": [], "metrics": {"ssvcV203": [{"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0", "ssvcData": {"id": "CVE-2026-66484", "role": "CISA Coordinator", "options": [{"exploitation": "none"}, {"automatable": "no"}, {"technicalImpact": "partial"}], "version": "2.0.3", "timestamp": "2026-08-10T10:57:05.821880Z"}}], "cvssMetricV40": [{"type": "Secondary", "source": "cvd@cert.pl", "cvssData": {"Safety": "NOT_DEFINED", "version": "4.0", "Recovery": "NOT_DEFINED", "baseScore": 4.6, "Automatable": "NOT_DEFINED", "attackVector": "LOCAL", "baseSeverity": "MEDIUM", "valueDensity": "NOT_DEFINED", "vectorString": "CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X", "exploitMaturity": "NOT_DEFINED", "providerUrgency": "NOT_DEFINED", "userInteraction": "ACTIVE", "attackComplexity": "LOW", "attackRequirements": "NONE", "privilegesRequired": "NONE", "subIntegrityImpact": "LOW", "vulnIntegrityImpact": "LOW", "integrityRequirement": "NOT_DEFINED", "modifiedAttackVector": "NOT_DEFINED", "subAvailabilityImpact": "NONE", "vulnAvailabilityImpact": "NONE", "availabilityRequirement": "NOT_DEFINED", "modifiedUserInteraction": "NOT_DEFINED", "modifiedAttackComplexity": "NOT_DEFINED", "subConfidentialityImpact": "NONE", "vulnConfidentialityImpact": "NONE", "confidentialityRequirement": "NOT_DEFINED", "modifiedAttackRequirements": "NOT_DEFINED", "modifiedPrivilegesRequired": "NOT_DEFINED", "modifiedSubIntegrityImpact": "NOT_DEFINED", "modifiedVulnIntegrityImpact": "NOT_DEFINED", "vulnerabilityResponseEffort": "NOT_DEFINED", "modifiedSubAvailabilityImpact": "NOT_DEFINED", "modifiedVulnAvailabilityImpact": "NOT_DEFINED", "modifiedSubConfidentialityImpact": "NOT_DEFINED", "modifiedVulnConfidentialityImpact": "NOT_DEFINED"}}]}, "affected": [{"source": "cvd@cert.pl", "affectedData": [{"repo": "https://git.savannah.gnu.org/cgit/cpio.git", "vendor": "GNU", "product": "cpio", "versions": [{"status": "affected", "version": "0", "versionType": "custom", "lessThanOrEqual": "2.15"}], "programFiles": ["tar.c"], "defaultStatus": "unaffected"}]}], "published": "2026-08-10T11:17:27.620", "references": [{"url": "https://cert.pl/en/posts/2026/08/CVE-2026-66484", "source": "cvd@cert.pl"}, {"url": "https://git.savannah.gnu.org/cgit/cpio.git", "source": "cvd@cert.pl"}], "vulnStatus": "Deferred", "weaknesses": [{"type": "Secondary", "source": "cvd@cert.pl", "description": [{"lang": "en", "value": "CWE-22"}]}], "descriptions": [{"lang": "en", "value": "GNU cpio contains a Path Traversal vulnerability in its tar archive extraction functionality. When extracting a tar archive in copy-in mode with the --no-absolute-filenames option, the extracted file name is normalized but the tar hard-link target is passed to the link_to_name function without equivalent sanitization before calling link function. A tar archive provided by an attacker, containing a hard-link entry whose linkname is set to an absolute path outside the extraction directory, can cause cpio to create a hard link to an existing file outside the intended extraction directory, breaking the expected guarantee of --no-absolute-filenames and allowing archive-controlled linkage to external files.\n\nThis issue has been fixed in commit e2b9cbdd3354d2b1569b7390d1bc15c1930559ad"}, {"lang": "es", "value": "GNU cpio contiene una vulnerabilidad de salto de ruta en su funcionalidad de extracci\u00f3n de archivos tar. Al extraer un archivo tar en modo de copia de entrada (copy-in mode) con la opci\u00f3n --no-absolute-filenames, el nombre del archivo extra\u00eddo se normaliza, pero el objetivo del enlace duro (hard-link target) de tar se pasa a la funci\u00f3n link_to_name sin una sanitizaci\u00f3n equivalente antes de llamar a la funci\u00f3n link. Un archivo tar proporcionado por un atacante, que contiene una entrada de enlace duro (hard-link entry) cuyo linkname est\u00e1 configurado a una ruta absoluta fuera del directorio de extracci\u00f3n, puede hacer que cpio cree un enlace duro a un archivo existente fuera del directorio de extracci\u00f3n previsto, rompiendo la garant\u00eda esperada de --no-absolute-filenames y permitiendo el enlace controlado por el archivo a archivos externos.\n\nEste problema ha sido solucionado en el commit e2b9cbdd3354d2b1569b7390d1bc15c1930559ad"}], "lastModified": "2026-10-24T16:10:00.153", "sourceIdentifier": "cvd@cert.pl"}