CVE-2024-54140

sigstore-java, sigstore altyapısıyla etkileşim kurmak için kullanılan bir sigstore java istemcisidir. sigstore-java, bir paketin (bundle) bir kontrol noktası (checkpoint) için geçersiz bir imza sağladığı durumlar için yetersiz doğrulamaya sahiptir. Bu hata, KeylessVerifier.verify() fonksiyonunun herhangi bir varyasyonunu kullanan istemcileri etkiler. Şu anda kontrol noktaları, yalnızca bir dahil etme kanıtının (inclusion proof) kök özetinin söz konusu günlük (log) tarafından sağlandığından emin olmak için kullanılır. Bunun doğrulanmaması, bir paketin aslında söz konusu günlüğe karşılık gelmeyen bir dahil etme kanıtı sağlayabileceği anlamına gelir. Bu durum, nihayetinde bir izleyicinin/tanığın (monitor/witness), ele geçirilmiş günlüklerin farklı istemcilere kendilerinin farklı görünümlerini sunduğunu tespit edememesine yol açabilir. Şu anda imzalı giriş zaman damgası (signed entry timestamp) gibi bunu hafifleten diğer mekanizmalar mevcuttur. sigstore-java şu anda geçerli bir imzalı giriş zaman damgası gerektirmektedir. İmzalı giriş zaman damgasını doğru şekilde doğrulayarak, günlük girişini imzalayan günlük hakkında belirli iddialarda bulunabiliriz (günlüğün eser imzalama olayından haberdar olduğu ve bunu imzaladığı gibi). Bu nedenle, izleyici/tanık olmayan istemciler üzerindeki etkisi oldukça düşüktür. Bu güvenlik açığı 1.2.0 sürümünde giderilmiştir.