CVE-2024-45395

Sigstore imzalanması və yoxlanılması üçün nəzərdə tutulmuş Go kitabxanası olan sigstore-go, 0.6.1 versiyasından əvvəlki versiyalarda xidmətdən imtina (DoS) hücumuna qarşı həssasdır. Bu, yoxlayıcıya imzalanmış şəffaflıq loqu yazıları, RFC 3161 vaxt möhürləri və attestasiya subyektləri formasında böyük həcmdə yoxlanıla bilən məlumatlar ehtiva edən zərərli şəkildə hazırlanmış Sigstore Bundle təqdim edildikdə baş verir. Bu məlumat strukturlarının yoxlanılması hesablama baxımından bahalıdır. Bu, həddindən artıq CPU resurslarının istifadəsinə səbəb olaraq xidmətdən imtina hücumu üçün istifadə edilə bilər. TUF-ın təhlükəsizlik modeli bu növ boşluğu "Sonsuz məlumat hücumu" (Endless data attack) kimi etiketləyir ki, bu da yoxlama prosesinin tamamlanmaması ilə nəticələnə və yoxlama üçün sigstore-go-dan asılı olan xidmətləri pozğuna uğrada bilər. Bu boşluq, bir bundle daxilində emal edilə bilən yoxlanıla bilən məlumat strukturlarının sayına sərt limitlər əlavə edən sigstore-go 0.6.1 versiyasında aradan qaldırılmışdır. Əgər bundle-dakı məlumatlar bu limitləri aşarsa, yoxlama uğursuz olacaqdır. Limitlər belədir: 32 imzalanmış şəffaflıq loqu yazısı, 32 RFC 3161 vaxt möhürü, 1024 attestasiya subyekti və hər attestasiya subyekti üçün 32 dayest (digest). Bu limitlər, istifadə hallarının böyük əksəriyyətini təmin etmək üçün kifayət qədər yüksək, eyni zamanda böyük həcmdə yoxlanıla bilən məlumatlar ehtiva edən zərərli şəkildə hazırlanmış bundle-lərin yoxlanılmasının qarşısını almaq üçün nəzərdə tutulub. Həssas olan lakin sürətli şəkildə yenilənmə imkanı olmayan istifadəçilər, sigstore-go-nun yoxlama funksiyalarını çağırmazdan əvvəl, qeyd olunan yamadakılara bənzər limitləri tətbiq etmək üçün manual bundle validasiyasının əlavə edilməsini nəzərə ala bilərlər.