CVE-2024-55655

sigstore-python, Sigstore imzalarının yaradılması və yoxlanılması üçün nəzərdə tutulmuş bir Python alətidir. sigstore-python-ın 2.0.0 versiyasından yeni, lakin 3.6.0 versiyasından əvvəlki versiyaları, yoxlama prosesi zamanı "v2" və "v3" paketlərində mövcud olan "integration time" parametrinin kifayət qədər yoxlanılmasını həyata keçirmir: "integration time" yalnız imzalanmış vaxt mənbəyi (məsələn, daxiletmə vədi - inclusion promise) mövcud olduqda yoxlanılır, əks halda isə heç bir imzalanmış vaxt mənbəyi olmadıqda ona etibar edilir. Bu, "v1" paketlərinə təsir etmir, çünki "v1" paket formatı hər zaman daxiletmə vədini tələb edir. Sigstore, qısamüddətli imzalama açarları ilə yaradılmış imzaların yoxlanılmasını dəstəkləmək üçün imzalanmış vaxtdan istifadə edir. Bu zəifliyin təsiri və ciddiliyi aşağıdır, çünki Sigstore-da paket daxilində inteqrasiya vaxtını dəyişdirən hücumçunun etibarlı imzanı təqlid etməsinin qarşısını alan digər çox saylı tətbiqedici komponentlər mövcuddur. Xüsusilə, inteqrasiya vaxtını dəyişdirən hücumçu Xidmətdən imtina (DoS) vəziyyətinə səbəb ola bilər, lakin bu, paketə giriş imkanları ilə artıq mümkün olan üsullardan fərqlənmir (məsələn, imzanın özünü elə dəyişdirmək ki, o, yoxlamadan keçməsin). Bundan əlavə, hücumçu şəffaflıq xidmətinə yeni bir yazı yükləyə və həmin yeni yazının vaxtını əvəzləyə bilər. Lakin bu, yenə də yoxlama zamanı rədd ediləcəkdir, çünki yeni yazının (etibarlı) imzalanmış vaxtı orijinal imzalama sertifikatının etibarlılıq pəncərəsinin xaricində olacaq və buna baxmayaraq hücumçunu audit edilə bilən edəcəkdir.