CVE-2022-36056
Açıklama
Cosign, imzaları görünmez bir altyapı haline getirmeyi amaçlayan sigstore organizasyonu altındaki bir projedir. 1.12.0 öncesindeki sürümlerde, doğrulamanın başarısız olması gereken durumlarda Cosign'ın bir artefaktı başarıyla doğruladığı cosign verify-blob bileşeninde bir dizi güvenlik açığı bulunmuştur. İlk olarak, gömülü rekorBundle verilen imzaya referans vermese bile bir blob'un başarıyla doğrulanması için bir cosign paketi oluşturulabilir. İkinci olarak, kimlik bayrakları sağlandığında, bir Rekor paketi doğrulanırken sertifikanın e-postası ve yayıncısı kontrol edilmemekte ve GitHub Actions kimliği hiçbir zaman kontrol edilmemektedir. Üçüncü olarak, deneysel bayrak olmadan geçersiz bir Rekor paketinin sağlanması başarılı bir doğrulama ile sonuçlanmaktadır. Ve dördüncü olarak, geçersiz bir şeffaflık günlüğü girişi, doğrulamanın anında başarıyla tamamlanmasına neden olmaktadır. Bu sorunların ayrıntıları ve örnekleri, bağlantılı olan GHSA-8gw7-4j42-w388 danışmanlığında görülebilir. Kullanıcıların 1.12.0 sürümüne yükseltmeleri önerilir. Bu sorunlar için bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- sigstore cosign1.12.0 ya da sonraki bir sürüm
- github.com/sigstore/cosign1.12.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sigstore cosign | v < 1.12.0 | 1.12.0 |
| github.com/sigstore/cosignGo | v < 1.12.0 | 1.12.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.