CVE-2025-62375

go-witness ve witness, kanıtlar (attestations) oluşturmak için kullanılan Go modülleridir. go-witness 0.8.6 ve önceki sürümleri ile witness 0.9.2 ve önceki sürümlerinde, AWS attestor'ı AWS EC2 örnek kimlik belgelerini uygun şekilde doğrulamamaktadır. Bir imza mevcut olmadığında veya boş olduğunda ve RSA imza doğrulaması başarısız olduğunda, doğrulama hatalı bir şekilde başarılı olabilir. Attestor ayrıca tek bir eski küresel AWS genel sertifikasını gömmektedir ve 2024 yılında yayınlanan yeni bölgeye özel sertifikaları hesaba katmamaktadır; bu durum, ek güvenilir bölge verileri olmadan sahte belgelerin tespit edilmesini zorlaştırmaktadır. Örnek kimlik belgesi verilerini sağlayabilen veya araya girebilen (Instance Metadata Service taklidi yoluyla olduğu gibi) bir saldırgan, sahte bir kimlik belgesinin kabul edilmesine neden olarak kanıta dayalı yanlış güven kararlarına yol açabilir. Bu sorun go-witness 0.9.1 ve witness 0.10.1 sürümlerinde düzeltilmiştir. Geçici bir çözüm olarak, AWS'nin doğrulama kılavuzunu takip ederek dahil edilen kimlik belgesini, imzayı ve genel anahtarı standart araçlarla (örneğin openssl) manuel olarak doğrulayın veya yükseltme yapılana kadar AWS attestor kullanımı devre dışı bırakın.