CVE-2026-57171 in Compliance-trestle
Sumário
de VulDB • 26/08/2026
Compliance-trestle (Trestle) é um SDK Python e uma ferramenta de linha de comando para gerenciar documentos de conformidade OSCAL. Nas versões anteriores à 3.12.4 e nas versões de 4.0.0 a 4.0.3, os comandos author catalog-generate, profile-generate e ssp-generate gravam o Markdown gerado em um caminho de saída influenciado pelo atacante, sem validação contra path-traversal (travessia de diretórios), permitindo gravação arbitrária de arquivos fora do workspace do Trestle. Esses comandos concatenam o argumento de saída fornecido pelo usuário ao root do Trestle e gravam no resultado, mas protegem-no apenas com uma verificação is_directory_name_allowed() para colisão de nome-tarefa (task-name-collision), em vez da proteção PathSecurityValidator.validate_local_path() usada pelo comando jinja. Assim, um caminho absoluto ou um que contenha sequências de travessia escapa do workspace e grava arquivos sob um local escolhido pelo atacante como o proprietário do processo invocador. A fronteira de segurança é violada quando um job CI confiável, serviço compartilhado ou wrapper deriva o argumento de saída a partir de dados controlados por repositório, controlados pelo inquilino (tenant) ou outros não confiáveis, enquanto espera que a saída permaneça dentro do workspace. Quando --force-overwrite é usado, o diretório de saída selecionado é primeiro excluído recursivamente, estendendo a primitiva para a destruição de uma árvore de diretórios escolhida pelo atacante e permitindo execução indireta de código ao sobrescrever arquivos executados posteriormente por um pipeline. Este problema foi corrigido nas versões 3.12.4 e 4.1.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.