注目★★★★★GitHub Advisory
Trestle v4.0.3、path traversalで任意ファイル書き込み
30秒で把握
- 1Trestle v4.0.3 の3コマンドで任意パスへのファイル書き込み
- 2CI経由の -o 制御でworkspace外へ書き込み、CVSS 8.4 High
- 3jinjaだけ修正済みでcatalog・profile・ssp生成処理に検証漏れ
要約
Trestle v4.0.3 の author catalog-generate、profile-generate、ssp-generate に、path traversal による任意ファイル書き込みの脆弱性がある。攻撃者が CI などを通じて -o/--output を制御すると、trestle workspace 外へプロセス所有者の権限でファイルを書き込める。--force-overwrite を使う場合は、指定ディレクトリを再帰削除してから生成する。CVSS は 8.4 High、機密性への影響を含めない保守的な評価でも 7.7 High となる。CVE-2026-46345 の修正で jinja には PathSecurityValidator.validate_local_path() が追加されたが、3 つの author generate コマンドには適用されていなかった。修正では出力パス生成直後に同じ検証を呼び出す。
あなたへの影響
Trestle の generate コマンドを CI、共有環境、マルチテナント環境で使うチームは、-o の入力源を信頼できる値に限定し、修正版が提供されるまで出力先検証を追加してください。
推奨：path traversal は ../ や絶対パスで想定ディレクトリの外へ到達する手法です。