CVE-2026-55222

ŚrednieCVSS 5.1

Opublikowano: 23/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 23/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Isar to system integracji do automatycznego generowania głównego systemu plików. W wersjach 0.11 i nowszych katalog /etc/apt/trusted.gpg.d jest tworzony ręcznie podczas bootstrapu, aby móc wdrażać lokalne klucze, przez co katalog należy do użytkownika wywołującego Isar zamiast do roota. Jeśli identyfikator użytkownika wywołującego jest taki sam jak nieuprzywilejowanego użytkownika wewnątrz obrazu, użytkownik ten może zmieniać istniejące klucze i wdrażać nowe, po cichu łamiąc ochronę integralności repozytorium apt.

Ocena ryzyka

Może to umożliwić nieuprzywilejowanemu użytkownikowi obrazu manipulację kluczami apt, co jest jednym z ogniw łańcucha prowadzącego do naruszenia integralności repozytorium. Brak wpływu na obrazy z niezmiennym rootfs lub gdy apt nie jest wywoływany.

Rekomendacja

Zaktualizuj Isar do wersji zawierającej poprawkę z commita 29e84ed. Upewnij się, że katalog /etc/apt/trusted.gpg.d jest własnością roota w generowanych obrazach.

Inne podatności w Isar

CVE-2025-65100Średnie
Isar to system integracji do automatycznego generowania głównego systemu plików. W wersjach 0.11-rc1 i 0.11 samo zdefiniowanie ISAR_APT_SNAPSHOT_DATE nie ustawia prawidłowego znacznika czasu dla dystrybucji bezpieczeństwa, co prowadzi do pominięcia aktualizacji bezpieczeństwa. Problem został naprawiony w commicie 738bcbb.

Oryginalny opis (angielski, źródło NVD)

Isar is an integration system for automated root filesystem generation. In versions 0.11 and newer, /etc/apt/trusted.gpg.d is created manually during bootstrap setup to be able to deploy local keys. By that, the directory is owned by the calling user (the one that executes Isar) instead of root. If the calling user's id is identical to one of an unprivileged user inside the image, this user is able to alter existing keys and deploy new ones, silently breaking the apt repo integrity protection. The issue is has no impact on those images that use an immutable rootfs, or if apt is never invoked. Changing only the keys does not trigger an exploit, it's just one step in a chain. An attacker would also have to manipulate a remote repo or intercept non-secure communication with it. This issue has been patched via commit 29e84ed.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS