CVE-2024-45395

Sigstore imzalama ve doğrulama için bir Go kütüphanesi olan sigstore-go, 0.6.1 öncesindeki sürümlerde; imzalı şeffaflık günlüğü girişleri, RFC 3161 zaman damgaları ve tasdik özneleri şeklinde büyük miktarda doğrulanabilir veri içeren kötü niyetle oluşturulmuş bir Sigstore Bundle'ın bir doğrulayıcıya sunulması durumunda hizmet reddi saldırısına karşı savunmasızdır. Bu veri yapılarının doğrulanması hesaplama açısından maliyetlidir. Bu durum, aşırı CPU kaynağı tüketilmesine yol açarak bir hizmet reddi saldırısı için kullanılabilir. TUF güvenlik modeli bu tür bir zafiyeti "Sonsuz veri saldırısı" olarak adlandırır; bu da doğrulamanın tamamlanamamasına ve doğrulama için sigstore-go'ya güvenen servislerin aksamasına neden olabilir. Bu zafiyet, bir bundle içinde işlenebilecek doğrulanabilir veri yapıları sayısına katı sınırlar ekleyen sigstore-go 0.6.1 ile giderilmiştir. Bir bundle, bu sınırları aşan verilere sahipse doğrulama başarısız olacaktır. Sınırlar; 32 imzalı şeffaflık günlüğü girişi, 32 RFC 3161 zaman damgası, 1024 tasdik öznesi ve tasdik öznesi başına 32 özet şeklindedir. Bu sınırların, kullanım durumlarının büyük çoğunluğunu karşılayacak kadar yüksek olması ve aynı zamanda büyük miktarda doğrulanabilir veri içeren kötü niyetle oluşturulmuş bundle'ların doğrulanmasını önlemesi amaçlanmıştır. Zafiyete açık olan ancak hızlıca yükseltme yapamayan kullanıcılar, sigstore-go'nun doğrulama fonksiyonlarını çağırmadan önce referans verilen yamadaki benzer sınırları uygulamak için manuel bundle doğrulaması eklemeyi düşünebilirler.