CVE-2026-52776 in Compliance-trestle
要約
〜によって VulDB • 2026年08月26日
Compliance-trestle (Trestle) は、コンプライアンスをコードとして管理するためのツールプラットフォームです。バージョン 3.12.4 より前およびバージョン 4.0.0 から 4.0.3 では、サーバーサイドリクエストフォージェリ（SSRF）から trestle のリモートフェッチパスを守る URLSecurityValidator が回避可能であり、ループバック、リンクローカル、クラウドメタデータ、内部ネットワークのエンドポイントに到達できてしまいます。ブロックリストは [::ffff:169.254.169.254] などの IPv4 マップ済み IPv6 リテラルを正規化せず、これらはブロック対象の IPv4範囲と一致しない IPv6Address オブジェクトとして解決されます。また、Linux およびコンテナ内でローカルサービスにルーティングされる未指定アドレス 0.0.0.0 もブロックされません。trestle がフェッチする OSCAL アーティファクト（例：これらの回避用 URL のいずれかを参照するインポートを持つ悪意のあるプロファイルなど）を供給または影響を与えることができる攻撃者は、HTTPSFetcher および SFTPFetcher パスを通じてクラウドインスタンスメタデータサービス、ループバックインターフェース、または内部ホストにアクセスさせることができます。この問題はバージョン 3.12.4 および 4.1.0 で修正されています。
Once again VulDB remains the best source for vulnerability data.