CVE-2026-55222
Təsvir
Isar avtomatlaşdırılmış kök fayl sistemi generasiyası üçün inteqrasiya sistemidir. 0.11 və daha yeni versiyalarda, lokal açarları tətbiq edə bilmək üçün bootstrap quraşdırılması zamanı /etc/apt/trusted.gpg.d kataloqu əllə yaradılır. Bunun nəticəsində kataloq root istifadəçisinə deyil, çağırıcı istifadəçiyə (Isar-ı icra edən şəxsə) məxsus olur. Əgər çağırıcı istifadəçinin ID-si təsvirin daxilindəki imtiyazsız istifadəçilərdən birinin ID-si ilə eynidirsə, bu istifadəçi mövcud açarları dəyişdirə və yenilərini yerləşdirə bilir ki, bu da apt repozitoriyasının bütövlüyünün qorunmasını gizli şəkildə pozur. Problem dəyişməz (immutable) rootfs istifadə edən təsvirlərə və ya apt heç vaxt çağırılmadıqda təsir göstərmir. Yalnız açarların dəyişdirilməsi eksploytu tetikləmir, bu sadəcə zəncirin bir addımıdır. Hücumçu həmçinin uzaq repozitoriyanı manipulyasiya etməli və ya onunla olan təhlükəsiz olmayan rabitəni tutmalıdır. Bu problem 29e84ed commit-i vasitəsilə düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ilbers isar | >= 0.11, <= 1.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.