CVE-2026-39984
Təsvir
Sigstore Timestamp Authority, RFC 3161 vaxt möhürlərinin verilməsi üçün nəzərdə tutulmuş bir xidmətdir. 2.0.5 və daha aşağı versiyalarda VerifyTimestampResponse funksiyasında autentifikasiyadan yan keçmə zəifliyi mövcuddur. VerifyTimestampResponse sertifikat zəncirinin imzasını düzgün şəkildə yoxlayır, lakin VerifyLeafCert daxilindəki TSA-ya məxsus məhdudiyyət yoxlamaları təsdiqlənmiş zəncirin yarpaq sertifikatı əvəzinə PKCS#7 sertifikat torbasındakı ilk qeyri-CA sertifikatından istifadə edir. Hücumçu, mesaj səlahiyyətli açarla imzalandığı halda, sertifikat torbasının əvvəlinə saxta sertifikat əlavə etməklə bu boşluqdan istifadə edə bilər ki, bu da kitabxananın imzanı bir sertifikatla təsdiqləməsinə, lakin avtorizasiya yoxlamalarını digəri ilə yerinə yetirməsinə səbəb olur. Bu zəiflik yalnız timestamp-authority/v2/pkg/verification paketindən istifadə edən istifadəçilərə təsir edir və timestamp-authority xidmətinə və ya sigstore-go-ya təsir göstərmir. Problem 2.0.6 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- linuxfoundation sigstore_timestamp_authority2.0.6 və ya daha yeni versiya
- github.com/sigstore/timestamp-authority/v22.0.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linuxfoundation sigstore_timestamp_authority | v < 2.0.6 | 2.0.6 |
| github.com/sigstore/timestamp-authority/v2Go | v < 2.0.6 | 2.0.6 |
| github.com/sigstore/timestamp-authorityGo | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.