CVE-2024-56138

notion-go, OCI artefaktlarının imzalanmasını və yoxlanılmasını dəstəkləmək üçün kitabxanalar toplusudur və Notary Project spesifikasiyalarına əsaslanır. Bu problem Quarkslab-ın zaman möhürü (timestamp) funksiyasının auditi zamanı müəyyən edilmişdir. Zaman möhürünün imzasının yaradılması zamanı, həmin imzanı yaratmaq üçün istifadə olunan sertifikat(lar)ın ləğv edilmə statusu yoxlanılmamışdır. Zaman möhürünün imzasının yaradılması prosesində notion-go, TSA tərəfindən istifadə olunan sertifikat zəncirinin ləğv edilmə statusunu yoxlamamışdır. Bu səhv, "Man-in-The-Middle" hücumu vasitəsilə istismar edilə bilən bir boşluq yaradır. Hücumçu kompromisə uğramış, ara və ya ləğv edilmiş yarpaq sertifikatından istifadə edərək zərərli qarşı-imza (countersignature) yarada bilər ki, bu da daha sonra `notation` tərəfindən qəbul edilir və saxlanılır. Bu, xüsusilə CI/CD mühitlərində imza yoxlama prosesləri zamanı xidmətdən imtina ssenarilərinə səbəb ola bilər, çünki ləğv edilmiş sertifikat(lar)ın mövcudluğu səbəbindən zaman möhürünün imzası uğursuz olacaq və bu da potensial olaraq əməliyyatları pozacaqdır. Bu problem 1.3.0-rc.2 versiyasında aradan qaldırılmışdır və bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Bu boşluq üçün məlum olan heç bir alternativ həll yolu yoxdur.