CVE-2022-29173

go-tuf, The Update Framework'ün (TUF) bir Go uygulamasıdır. go-tuf, root rolü dışındaki roller için meta veri dosyalarını güncellemeye yönelik istemci iş akışını doğru şekilde uygulamamaktadır. Özellikle, geri alma (rollback) saldırılarına karşı kontroller doğru uygulanmamıştır; bu durum, bir saldırganın istemcilerin daha önce mevcut olduğunu bildikleri yazılımdan daha eski olan ve bilinen güvenlik açıkları içeren yazılımları yüklemesine neden olabileceği anlamına gelir. Daha detaylı olarak, go-tuf istemci kodunun geri alma saldırılarını önleme konusunda birkaç sorunu vardır: 1. Root rolü dışındaki rolleri güncellemeye devam etmeden önce, varsa daha önce güvenilmiş herhangi bir meta verinin içeriğini dikkate almaz (yani ayrıntılı istemci iş akışının 5.4.3.1 ve 5.5.5 numaralı adımları). Bu, yeni indirilen meta veriler üzerinde yapılan her türlü sürüm doğrulamasının, her zaman başarılı olan varsayılan sıfır değeri kullanılarak gerçekleştirildiği anlamına gelir. 2. Hem timestamp hem de snapshot rolleri için go-tuf, bu meta veri dosyalarının referans verdiği meta dosyalarının sürümünün doğru olup olmadığını doğrulamadan önce bu dosyaları güvenilir olarak kaydeder (yani ayrıntılı istemci iş akışının 5.5.4 ve 5.6.4 numaralı adımları). Versiyon 0.3.0 veya daha yeni sürümlerde düzeltme mevcuttur. Güncelleme yapmak dışında bu sorun için bilinen bir geçici çözüm yoktur.