CVE-2026-55222
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Isar to system integracyjny służący do automatycznego generowania głównego systemu plików. W wersjach 0.11 i nowszych plik /etc/apt/trusted.gpg.d jest tworzony ręcznie podczas konfiguracji ładowania początkowego, aby móc wdrożyć klucze lokalne. Dzięki temu katalog jest własnością użytkownika wywołującego (tego, który wykonuje Isar), a nie roota. Jeśli identyfikator użytkownika wywołującego jest identyczny z identyfikatorem nieuprzywilejowanego użytkownika na obrazie, użytkownik ten może zmienić istniejące klucze i wdrożyć nowe, po cichu łamiąc ochronę integralności repozytorium apt. Problem polega na tym, że nie ma to wpływu na obrazy korzystające z niezmiennego rootfs lub jeśli apt nigdy nie jest wywoływany. Zmiana samych kluczy nie powoduje exploita, to tylko jeden krok w łańcuchu. Osoba atakująca musiałaby także manipulować zdalnym repozytorium lub przechwytywać niezabezpieczoną komunikację z nim. Ten problem został naprawiony poprzez zatwierdzenie 29e84ed.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org