CVE-2024-55655

sigstore-python, Sigstore imzaları oluşturmak ve doğrulamak için kullanılan bir Python aracıdır. sigstore-python'ın 2.0.0 sürümünden yeni ancak 3.6.0 sürümünden önceki versiyonları, doğrulama akışı sırasında "v2" ve "v3" paketlerinde bulunan "integration time" bilgisinin yetersiz doğrulamasını gerçekleştirir: "integration time", eğer imzalı zaman kaynağı (bir inclusion promise gibi) mevcutsa doğrulanır; aksi takdirde, imzalı zaman kaynağı yoksa güvenilir kabul edilir. Bu durum "v1" paketlerini etkilemez çünkü "v1" paket formatı her zaman bir inclusion promise gerektirir. Sigstore, kısa ömürlü imzalama anahtarlarıyla yapılan imzaların doğrulanmasını desteklemek için imzalı zamanı kullanır. Bir paketteki entegrasyon zaman damgasını değiştiren bir saldırganın geçerli bir imzayı taklit etmesini önleyen birden fazla zorlayıcı bileşen Sigstore içerisinde yer aldığı için bu zafiyetin etkisi ve şiddeti düşüktür. Özellikle, entegrasyon zaman damgasını değiştiren bir saldırgan Hizmet Reddi (DoS) durumuna yol açabilir, ancak bu durum zaten paket erişimiyle mümkün olan yöntemlerden farklı değildir (örneğin, imzanın kendisini doğrulamanın başarısız olacağı şekilde değiştirmek). Ayrıca, bir saldırgan şeffaflık servisine yeni bir girdi yükleyebilir ve kendi yeni girdisinin zamanını ikame edebilir. Ancak, yeni girdinin (geçerli) imzalı zamanı orijinal imzalama sertifikasının geçerlilik penceresinin dışında kalacağı için bu işlem yine de doğrulama aşamasında reddedilecek ve buna rağmen saldırgan denetlenebilir durumda olacaktır.