CVE-2024-51746
Açıklama
Gitsign, GitHub / OIDC kimliğinizle Git commit'lerini imzalamak için anahtarsız bir Sigstore imzalama aracıdır. gitsign, çevrimiçi doğrulama sırasında günlük tarafından birden fazla girdi döndürüldüğünde kullanılacak yanlış Rekor girdisini seçebilir. gitsign, doğrulanan bir imzaya uygulanan girdileri almak için Rekor'un arama API'sini kullanır. Arama için kullanılan parametreler ortak anahtar ve yüktür. Arama API'si her iki koşulu da değil, koşullardan birini karşılayan girdileri döndürür. gitsign'ın kimlik bilgisi önbelleği kullanıldığında, aynı geçici anahtar çiftini / imzalama sertifikasını kullanan birden fazla girdi olabilir. gitsign her iki koşulun da Rekor tarafından karşılandığını varsaydığından, girdinin karma değerinin doğrulanan yükle eşleştiğine dair ek bir doğrulama yoktur; bu da doğrulamayı başarıyla geçmek için yanlış girdinin kullanılabileceği anlamına gelir. Etki minimaldir çünkü gitsign yükü girdiyle eşleştirmese de sertifikanın eşleştiğinden emin olur. Bunun sertifika geçerlilik penceresi (10 dakika) içinde anahtar sahibi tarafından istismar edilmesi gerekir.
Nasıl düzeltilir
- github.com/sigstore/gitsign0.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/sigstore/gitsignGo | v < 0.11.0 | 0.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.