CVE-2024-51746

Gitsign, GitHub / OIDC kimliyinizlə Git commit-lərini imzalamaq üçün açarsız bir Sigstore alətidir. Onlayn yoxlama zamanı loq tərəfindən çoxlu sayda giriş qaytarıldıqda, gitsign istifadə üçün yanlış Rekor girişini seçə bilər. gitsign, yoxlanılan imzaya aid olan girişləri əldə etmək üçün Rekor-un axtarış API-dən istifadə edir. Axtarış üçün istifadə olunan parametrlər açıq açar və faydalı yükdür (payload). Axtarış API-si hər iki şərtə deyil, onlardan hər hansı birinə uyğun gələn girişləri qaytarır. gitsign-in etibarlılıq keşindən (credential cache) istifadə edildikdə, eyni efemer açar cütlüyü / imzalama sertifikatından istifadə edən çoxlu sayda giriş ola bilər. gitsign hər iki şərtin Rekor tərəfindən qarşılandığını fərz etdiyi üçün, girişin heşinin yoxlanılan faydalı yüklə uyğunlaşmasına dair əlavə təsdiqləmə aparılmır, bu isə o deməkdir ki, yoxlamadan uğurla keçmək üçün yanlış girişdən istifadə edilə bilər. Təsir minimaldır, çünki gitsign faydalı yükü girişlə uyğunlaşdırmasa da, sertifikatın uyğun olduğunu təmin edir. Bunun üçün açarın sahibi tərəfindən sertifikatın etibarlılıq müddəti (10 dəqiqə) ərzində istismar edilməsi lazımdır.