crítica
CVE-2025-0377
go-slug: HashiCorp go-slug Vulnerable to Zip Slip Attack
En la Trivy database desde, como mínimo, el 24 oct 2026, 07:11 UTCNo consta cuándo entró antes de ese build.
Severidad por fuente
NVD9.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
GHSA7.5CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Red Hat7.5CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
La etiqueta propia de Trivy es CRITICAL. Crítica según NVD. Más baja según GHSA (alta), Red Hat (alta).
Descripción
HashiCorp’s go-slug library is vulnerable to a zip-slip style attack when a non-existing user-provided path is extracted from the tar entry.
Paquetes afectados y versiones corregidas
| Fuente | Paquete | Corregido en |
|---|---|---|
| chainguard | opentofu-1.8, opentofu-1.9, opentofu-fips-1.8 y 7 más | 1.8.8-r2 y 9 más |
| go::GitHub Security Advisory Go | github.com/hashicorp/go-slug | 0.16.3 |
| wolfi | opentofu-1.9, terraform | 1.9.0-r2 y 1 más |
Mostrar las 13 entradas de 3 fuentes
| Fuente | Paquete | Corregido en |
|---|---|---|
| chainguard | opentofu-1.8 | 1.8.8-r2 |
| chainguard | opentofu-1.9 | 1.9.0-r2 |
| chainguard | opentofu-fips-1.8 | 1.8.8-r1 |
| chainguard | opentofu-fips-1.9 | 1.9.0-r1 |
| chainguard | terraform | 1.5.7-r36 |
| chainguard | terraform-1.10 | 1.10.4-r1 |
| chainguard | terraform-1.9 | 1.9.8-r5 |
| chainguard | vault-1.16 | 1.16.3-r9 |
| chainguard | vault-1.17 | 1.17.6-r3 |
| chainguard | vault-1.18 | 1.18.3-r2 |
| go::GitHub Security Advisory Go | github.com/hashicorp/go-slug | 0.16.3 |
| wolfi | opentofu-1.9 | 1.9.0-r2 |
| wolfi | terraform | 1.5.7-r36 |