CVE-2025-65100

ŚrednieCVSS 6.9

Opublikowano: 19/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Isar to system integracji do automatycznego generowania głównego systemu plików. W wersjach 0.11-rc1 i 0.11 samo zdefiniowanie ISAR_APT_SNAPSHOT_DATE nie ustawia prawidłowego znacznika czasu dla dystrybucji bezpieczeństwa, co prowadzi do pominięcia aktualizacji bezpieczeństwa. Problem został naprawiony w commicie 738bcbb.

Ocena ryzyka

Może to skutkować brakiem krytycznych aktualizacji bezpieczeństwa w generowanych systemach, zwiększając podatność na znane luki.

Rekomendacja

Zaktualizuj Isar do wersji zawierającej poprawkę (commit 738bcbb) lub nowszej.

Inne podatności w Isar

CVE-2026-55222Średnie
Isar to system integracji do automatycznego generowania głównego systemu plików. W wersjach 0.11 i nowszych katalog /etc/apt/trusted.gpg.d jest tworzony ręcznie podczas bootstrapu, aby móc wdrażać lokalne klucze, przez co katalog należy do użytkownika wywołującego Isar zamiast do roota. Jeśli identyfikator użytkownika wywołującego jest taki sam jak nieuprzywilejowanego użytkownika wewnątrz obrazu, użytkownik ten może zmieniać istniejące klucze i wdrażać nowe, po cichu łamiąc ochronę integralności repozytorium apt.

Oryginalny opis (angielski, źródło NVD)

Isar is an integration system for automated root filesystem generation. In versions 0.11-rc1 and 0.11, defining ISAR_APT_SNAPSHOT_DATE alone does not set the correct timestamp value for security distribution, leading to missed security updates. This issue has been patched via commit 738bcbb.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS