CVE-2024-35192
Açıklama
Trivy bir güvenlik tarayıcısıdır. 0.51.2 sürümünden önce, kötü niyetli bir aktör Trivy'nin özel olarak hazırlanmış kötü amaçlı bir kayıt defterinden (registry) konteyner imajlarını taramasını tetikleyebilirse; bu durum AWS Elastic Container Registry (ECR), Google Cloud Artifact/Container Registry veya Azure Container Registry (ACR) gibi meşru kayıt defterlerine ait kimlik bilgilerinin sızmasına neden olabilir. Bu belirteçler daha sonra, Trivy'yi çalıştıran kimliğin/kullanıcının erişimi olduğu söz konusu kayıt defterlerinden imaj çekmek veya göndermek için kullanılabilir. Varsayılan kimlik bilgisi sağlayıcı zinciri geçerli kimlik bilgilerini elde edemezse sistemler etkilenmez. Bu zafiyet yalnızca konteyner imajları doğrudan bir kayıt defterinden taranırken geçerlidir. Bu zafiyet 0.51.2 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/aquasecurity/trivy0.51.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/aquasecurity/trivyGo | v < 0.51.2 | 0.51.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.