CVE-2026-55222 Propiedad de usuario no privilegiado en el directorio de claves GPG de repositorios confiables de Isar

Qué es CVE-2026-55222

Durante el bootstrap, /etc/apt/trusted.gpg.d se crea con el usuario que ejecuta Isar en lugar de root, por lo que un usuario no privilegiado dentro de la imagen con el mismo id puede alterar claves existentes y desplegar nuevas, rompiendo la integridad de los repositorios apt. No impacta en imágenes con rootfs inmutable ni si apt nunca se invoca. Corregido en el commit 29e84ed.

Productos y versiones afectadas

• ilbers isar

  • >= 0.11, <= 1.1

Qué hacer

1. Verificá si usás isar y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.1 MEDIA

CVSS:3.1/AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

VECTOR DE ATAQUE (AV)

Local

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Isar is an integration system for automated root filesystem generation. In versions 0.11 and newer, /etc/apt/trusted.gpg.d is created manually during bootstrap setup to be able to deploy local keys. By that, the directory is owned by the calling user (the one that executes Isar) instead of root. If the calling user's id is identical to one of an unprivileged user inside the image, this user is able to alter existing keys and deploy new ones, silently breaking the apt repo integrity protection. The issue is has no impact on those images that use an immutable rootfs, or if apt is never invoked. Changing only the keys does not trigger an exploit, it's just one step in a chain. An attacker would also have to manipulate a remote repo or intercept non-secure communication with it. This issue has been patched via commit 29e84ed.

Referencias

• github.com/ilbers/isar/security/advisories/GHSA-rq66-pfw5-whqqX_REFSOURCE_CONFIRM
• github.com/ilbers/isar/commit/29e84ed301c8d25c570300cf82b563b7961392b0X_REFSOURCE_MISC

Historial de la alerta

1. 23 OCT · 11:56VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.