🇰🇷 한글 설명
Trivy 0.71.1 이전 버전에서 OCI 아티팩트를 다운로드할 때, 검증되지 않은 'org.opencontainers.image.title' 주석을 파일 이름으로 사용하여 발생합니다. 공격자가 조작된 아티팩트를 제공할 경우, Trivy가 레이어 콘텐츠를 호스트 파일 시스템의 임의 위치에 저장할 수 있습니다.
💡 쉬운 설명
보안 스캐너인 Trivy가 파일을 저장할 때 파일 이름을 제대로 확인하지 않는 결함이 있습니다. 이를 악용하면 해커가 원하는 위치에 악성 파일을 몰래 저장할 수 있습니다.
🇺🇸 원문 (English)
Trivy is a security scanner. Prior to 0.71.1, when Trivy downloads an OCI artifact, it uses the org.opencontainers.image.title annotation from the artifact manifest as the destination filename without validation. An attacker who can make Trivy fetch an attacker-controlled artifact can supply a crafted annotation that resolves to a path outside the intended destination, causing Trivy to write the layer content to an arbitrary location on the host filesystem. This vulnerability is fixed in 0.71.1.
📍 영향받는 시스템
Trivy versions prior to 0.71.1
⚔️ 공격 벡터
공격자가 조작된 주석이 포함된 OCI 아티팩트를 Trivy가 다운로드하도록 유도하여 임의 경로에 파일 쓰기 수행
🛡️ 대응 방법
Trivy를 0.71.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.71.1 미만이면 취약한 상태이며, 0.71.1 이상이면 안전합니다.
trivy --version | grep -E '0\.[0-9]+\.[0-9]+'