🇰🇷 한글 설명
Trivy 0.71.0 이전 버전에서 Helm 차트(.tgz)를 스캔할 때 커스텀 tar 언패커가 파일 크기 제한 없이 데이터를 읽어 발생하는 취약점입니다. 공격자가 악의적인 .tgz 파일을 배치할 경우, 압축 해제 시 기가바이트 단위의 메모리를 점유하여 OS의 OOM Killer에 의해 Trivy 프로세스가 강제 종료될 수 있습니다.
💡 쉬운 설명
작은 압축 파일이 풀렸을 때 엄청나게 커지는 '압축 폭탄'을 사용하여 보안 스캐너를 멈추게 만드는 공격입니다. 이로 인해 시스템의 메모리가 부족해져 스캔 작업이 중단될 수 있습니다.
🇺🇸 원문 (English)
Trivy is a security scanner. Prior to 0.71.0, when Trivy scans a Helm chart archive (.tgz), its custom tar unpacker reads each entry with io.ReadAll(tr) and no size limit. An attacker who can place a malicious .tgz file in the scanned path can craft a small compressed archive that decompresses to gigabytes, causing the Trivy process to be killed by the OS OOM killer. This vulnerability is fixed in 0.71.0.
📍 영향받는 시스템
Trivy versions prior to 0.71.0
⚔️ 공격 벡터
스캔 대상 경로에 압축 해제 시 메모리 점유율을 극대화하는 악의적인 .tgz 파일을 배치
🛡️ 대응 방법
Trivy를 0.71.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 0.71.0 미만이면 취약한 버전이며, 0.71.0 이상이면 안전합니다.
trivy --version | grep -E '0\.[0-9]{2}\.[0-9]{2}'