🇰🇷 한글 설명
Trivy 0.71.0 미만 버전에서 Terraform 파일 시스템 함수 사용 시 스캔 루트 상위 경로에 접근할 수 있는 디렉토리 트래버설 취약점이 존재합니다. 신뢰할 수 없는 입력값(예: 제3자의 Pull Request)을 사용하여 misconf 스캔을 수행할 경우, 공격자가 의도하지 않은 경로의 민감한 데이터를 스캔 결과로 탈취할 수 있습니다.
💡 쉬운 설명
Trivy라는 보안 도구가 검사 범위를 벗어나 컴퓨터 내부의 다른 폴더까지 들여다볼 수 있는 문제입니다. 나쁜 의도를 가진 사람이 만든 설정 파일을 검사할 때, 원래 보여주면 안 되는 중요한 정보가 결과 화면에 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Trivy before 0.71.0 allows directory traversal in Terraform filesystem functions when they try to access pathnames above the scan root. The risk occurs when using misconf scanning on untrusted input (e.g., upon a third-party pull request that contains a Terraform configuration), if sensitive data can be found at those unintended pathnames, and an adversary can then view a sensitive data value within scan output.
📍 영향받는 시스템
Trivy versions before 0.71.0
⚔️ 공격 벡터
신뢰할 수 없는 Terraform 구성 파일을 포함한 Pull Request를 통해 스캔을 유도하여 상위 디렉토리의 파일에 접근
🛡️ 대응 방법
Trivy를 0.71.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.71.0보다 낮으면 취약한 버전이 설치된 것입니다.
trivy --version | grep -E '0\.[0-9]{2}\.[0-9]{2}'