CVE-2026-52776 in Compliance-trestle
Zusammenfassung
von VulDB • 26.08.2026
Compliance-trestle (Trestle) ist eine Tooling-Plattform zur Verwaltung von Compliance as Code. In Versionen vor 3.12.4 sowie in den Versionen 4.0.0 bis 4.0.3 kann der URLSecurityValidator, der die Remote-Fetch-Pfade von Trestle gegen Server-Side Request Forgery (SSRF) absichert, umgangen werden, um auf Loopback-, Link-Local-, Cloud-Metadata- und interne Netzwerkendpunkte zuzugreifen, die eigentlich blockiert werden sollten. Die Blockliste kanonisiert nicht IPv4-mapped IPv6-Literale wie [::ffff:169.254.169.254], die sich in IPv6Address-Objekte auflösen, welche niemals mit den blockierten IPv4-Bereichen übereinstimmen, und sie blockiert auch die nicht spezifizierte Adresse 0.0.0.0, die auf Linux-Systemen und innerhalb von Containern zu lokalen Diensten routet. Ein Angreifer, der ein OSCAL-Artefakt bereitstellen oder beeinflussen kann, das Trestle abruft (z. B. ein bösartiges Profil, dessen Imports eine dieser Umgehungs-URLs referenzieren), kann dazu führen, dass die HTTPSFetcher- und SFTPFetcher-Pfade Cloud Instance-Metadata-Dienste, Loopback-Schnittstellen oder interne Hosts kontaktieren. Dieses Problem wurde in den Versionen 3.12.4 und 4.1.0 behoben.
Once again VulDB remains the best source for vulnerability data.