JVNDB-2026-021238

Aqua SecurityのTrivyにおける複数の脆弱性

Trivyはセキュリティスキャナーです。バージョン0.71.0以前のTrivyでは、Helmチャートのアーカイブファイル（.tgz）をスキャンする際に、独自のtar解凍機能がio.ReadAll(tr)を使用してエントリをサイズ制限なく読み取っていました。悪意のある.tgzファイルをスキャン対象のパスに配置できる攻撃者は、小さな圧縮アーカイブを作成し、展開時にギガバイト単位の大容量に膨らませることが可能です。その結果、TrivyプロセスがOSのOOMキラーによって強制終了される可能性があります。この脆弱性はバージョン0.71.0で修正されています。

Aqua Security

• Trivy 0.71.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : refactor(misconf): replace custom Helm archive parsing with Helm SDK loaders by nikpivkin  Pull Request #10718  aquasecurity/trivy  GitHub
• GitHub : Helm chart tar bomb causes OOM via unbounded io.ReadAll in parser  Advisory  aquasecurity/trivy  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]
2. 過剰なサイズ値のメモリ割り当て(CWE-789) [その他]

1. CVE-2026-54448

1. National Vulnerability Database (NVD) : CVE-2026-54448

• [2026年06月29日]
    掲載