CVE-2026-55092
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 — wyżej niż 21% wszystkich znanych CVE
Streszczenie
Trivy przed wersją 0.71.1 używa adnotacji `org.opencontainers.image.title` z manifestu artefaktu OCI jako nazwy pliku docelowego bez walidacji. Atakujący, który może sprawić, że Trivy pobierze kontrolowany przez niego artefakt, może dostarczyć spreparowaną adnotację wskazującą ścieżkę poza zamierzonym katalogiem docelowym, co pozwala na zapisanie zawartości warstwy w dowolnej lokalizacji na systemie plików hosta.
Ocena ryzyka
Ryzyko polega na możliwości nadpisania lub umieszczenia złośliwych plików w newralgicznych lokalizacjach systemu, co może prowadzić do eskalacji uprawnień, uruchomienia dowolnego kodu lub trwałego uszkodzenia systemu.
Rekomendacja
Niezwłocznie zaktualizuj Trivy do wersji 0.71.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, ogranicz pobieranie artefaktów OCI wyłącznie do zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
Trivy is a security scanner. Prior to 0.71.1, when Trivy downloads an OCI artifact, it uses the org.opencontainers.image.title annotation from the artifact manifest as the destination filename without validation. An attacker who can make Trivy fetch an attacker-controlled artifact can supply a crafted annotation that resolves to a path outside the intended destination, causing Trivy to write the layer content to an arbitrary location on the host filesystem. This vulnerability is fixed in 0.71.1.