CVE-2026-44309

Gitsign, GitHub / OIDC kimliyinizlə Git commit-lərini imzalamaq üçün açarsız bir Sigstore alətidir. 0.16.0 versiyasından əvvəl, gitsign verify və gitsign verify-tag əmrləri imzanı yoxlamazdan əvvəl commit/tag obyektlərini xam git obyekti baytlarına qarşı yoxlamaq əvəzinə, go-git-in EncodeWithoutSignature funksiyası vasitəsilə yenidən kodlaşdırır. Təkrarlanan ağac başlıqları olan yanlış formatlanmış obyektlər üçün git-core və go-git fərqli ağacları analiz edir: git-core birincini, go-git isə ikincini istifadə edir. go-git tərəfindən normallaşdırılmış forma (ikinci ağac) üzərində hazırlanmış imza gitsign verify yoxlamasından keçir, lakin git-core commit-i tamamilə fərqli bir ağaca yönləndirir. Bu, təsdiqlənmiş imzanın, git-core-un istifadəçilərə təqdim etdiyi commit semantikasının və Rekor-da qeydə alınmış obyekt heşinin hamısının eyni məzmuna istinad etməsi prinsipini pozur. Bu zəiflik 0.16.0 versiyasında aradan qaldırılıb.