Nomad закрыл выход за каталог allocation через симлинки с риском выполнения кода от root Кого затрагивает: Nomad и Nomad Enterprise ≤2.0.7; узлы, где атакующий может запустить workload и разместить симлинки в allocation.

CVE-2026-107347: запись dispatch payload и логов executor через симлинки могла менять файлы вне allocation с правами агента. Для payload нужны права submit и dispatch; для логов — submit, Linux и драйвер exec/java. При агенте root возможно, но не гарантировано выполнение кода от root: исход зависит от доступных файлов.

Проверьте права агента и заданий. Исправлено: Nomad 2.1.0; Enterprise 2.1.0, 1.11.12, 1.10.18.

The potential impact depends on the client agent’s privileges and the host files it can modify.

Источники: HashiCorp Security Bulletins · HashiCorp Security Bulletins · HashiCorp Security Bulletins · HashiCorp Security Bulletins Читать полный обзор

Подпишись на @DeusOps