CVE-2023-32076

in-toto, tedarik zinciri bütünlüğünü korumak için kullanılan bir çerçevedir. in-toto yapılandırması çeşitli dizinlerden okunur ve kullanıcıların çerçevenin davranışını yapılandırmasına olanak tanır. Dosyalar, XDG temel dizin spesifikasyonunu takip eden dizinlerden alınmaktadır. 1.4.0 ve önceki sürümlerde, okunan dosyalar arasında in-toto'nun çalıştırıldığı dizindeki gizli bir dosya olan `.in_totorc` yer almaktadır. Bir saldırgan, bir tedarik zinciri adımının girdilerini kontrol edebilirse, gerekli hariç tutma kalıplarını ve ayarlarını içeren bir `.in_totorc` dosyası da ileterek faaliyetlerini gizleyebilir. RC dosyaları diğer sistemlerde yaygın olarak kullanılmaktadır ve bunların uygulamalarında da güvenlik sorunları tespit edilmiştir. Bakımcılar, in-toto kullanıcılarıyla yaptıkları görüşmelerde `.in_totorc` dosyasının tercih edilen yapılandırma yöntemi olmadığını görmüştür. `.in_totorc` içinde desteklenen seçeneklerin hiçbiri benzersiz olmadığı ve bunlar API parametreleri veya CLI argümanları kullanılarak başka yerlerde ayarlanabildiği için bakımcılar `.in_totorc` desteğini kaldırmaya karar vermiştir. in-toto'nun `user_settings` modülü 3a21d84f40811b7d191fa7bd17265c1f99599afd commit'i ile tamamen kaldırılmıştır. Kullanıcılar ayrıca bir güvenlik önlemi olarak functionary kodunu sandbox ortamına alabilirler.