CVE-2026-52776 in Compliance-trestle
요약
\~에 의해 VulDB • 2026. 08. 26.
Compliance-trestle(Trestle)는 규정 준수를 코드로서 관리하기 위한 도구 플랫폼입니다. 버전 3.12.4 이전 및 버전 4.0.0부터 4.0.3까지의 버전에서, 서버 사이드 리퀘스트 포지리(SSRF)로부터 trestle의 원격 가져오기 경로를 보호하는 URLSecurityValidator를 우회하여 루프백, 링크 로컬, 클라우드 메타데이터 및 내부 네트워크 엔드포인트에 접근할 수 있습니다. 차단 목록은 IPv4 매핑된 IPv6 문자열(예: [::ffff:169.254.169.254])을 정규화하지 않으며, 이는 IPv6Address 객체로 해석되어 차단된 IPv4 범주와 일치하지 않습니다. 또한 지정되지 않은 주소 0.0.0.0은 차단되지 않는데, 이 주소는 Linux 및 컨테이너 내부에서 로컬 서비스로 라우팅됩니다. trestle가 가져오는 OSCAL 아티팩트(예: 우회 URL 중 하나를 참조하는 악의적인 프로필)를 제공하거나 영향을 줄 수 있는 공격자는 HTTPSFetcher 및 SFTPFetcher 경로가 클라우드 인스턴스 메타데이터 서비스, 루프백 인터페이스 또는 내부 호스트에 접속하도록 유도할 수 있습니다. 이 문제는 버전 3.12.4 및 4.1.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.