CVE-2026-39395
Təsvir
Cosign konteynerlər və binar fayllar üçün kodun imzalanmasını və şəffaflığını təmin edir. 3.0.6 və 2.6.3 versiyalarından əvvəl `cosign verify-blob-attestation` yanlış formatlanmış payload-lara və ya uyğunlaşmayan predikat tiplərinə malik attestasiyalar üçün səhvən "Verified OK" nəticəsi hesabatı verə bilərdi. Köhnə formatlı paketlər və ayrılmış imzalar üçün bu, predikat tipinin validasiyasının xətaların idarə edilməsindəki məntiq xətası ilə bağlı idi. Yeni formatlı paketlərdə isə predikat tipinin validasiyası tamamilə yan keçilirdi. Bu zəiflik 3.0.6 və 2.6.3 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- sigstore cosign2.6.3, 3.0.6 və ya daha yeni versiya
- github.com/sigstore/cosign3.0.6, 2.6.3 və ya daha yeni versiya
- github.com/sigstore/cosign/v22.6.3 və ya daha yeni versiya
- github.com/sigstore/cosign/v33.0.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sigstore cosign | v < 2.6.3, 3.0.0 ≤ v < 3.0.6 | 2.6.3, 3.0.6 |
| github.com/sigstore/cosignGo | 3.0.0 ≤ v < 3.0.6, v < 2.6.3, Aralıq göstərilməyib | 3.0.6, 2.6.3 |
| github.com/sigstore/cosign/v2Go | v < 2.6.3 | 2.6.3 |
| github.com/sigstore/cosign/v3Go | 3.0.0 ≤ v < 3.0.6 | 3.0.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.