CVE-2024-29902

Cosign, konteynerler ve ikili dosyalar için kod imzalama ve şeffaflık sağlar. Versiyon 2.2.4 öncesinde, kötü amaçlı bir eke sahip uzak bir imaj, Cosign çalıştıran ana makinenin hizmet dışı kalmasına (denial of service) neden olabilir. Bu durum, bellek uygunluğuna güvenen Redis veritabanı gibi makinedeki diğer servisleri etkileyerek veri kaybına yol açabilir. Ayrıca, makine hizmet dışı kaldığı süre boyunca erişilemeyecek olan diğer servislerin kullanılabilirliğini de etkileyebilir. Bu sorunun temel nedeni, Cosign'ın ek boyutunu önceden kontrol etmeden uzak bir imajdaki eki tamamen belleğe okumasıdır. Bu nedenle, büyük bir ek, Cosign'ın belleğe çok büyük bir veri okumasına neden olabilir; eğer ekin boyutu makinenin mevcut belleğinden daha büyükse, makine hizmet dışı kalacaktır. Go çalışma zamanı, sistem genelindeki birkaç saniyelik kesintinin ardından bir SigKill işlemi gerçekleştirecektir. Bu sorun, ele geçirilmiş bir kayıt defterinden (registry) Cosign kullanıcısına doğru bir tedarik zinciri yükseltmesine izin verebilir: Bir saldırgan, bir kayıt defterini veya bir imaj sağlayıcı hesabını ele geçirirse, kötü amaçlı bir ek ekleyerek imaj tüketicisine zarar verebilir. Versiyon 2.2.4, bu güvenlik açığı için bir yama içermektedir.