CVE-2025-66564
Açıklama
Sigstore Timestamp Authority, RFC 3161 zaman damgaları düzenlemek için kullanılan bir servistir. 2.0.3 sürümünden önce, api.ParseJSONRequest fonksiyonu şu anda isteğe bağlı olarak sağlanan ve güvenilmeyen veri olan bir OID'yi (strings.Split çağrısı aracılığıyla) noktalara göre ayırmaktadır. Benzer şekilde, api.getContentType fonksiyonu, yine güvenilmeyen veri olan Content-Type başlığını bir uygulama dizisine göre ayırmaktadır. Sonuç olarak, yükünde çok sayıda nokta karakteri içeren aşırı uzun bir OID veya hatalı biçimlendirilmiş bir Content-Type başlığı bulunan kötü niyetli bir istek durumunda, api.ParseJSONRequest veya api.getContentType çağrıları O(n) baytlık tahsisatlara (burada n, fonksiyonun argümanının uzunluğunu temsil eder) neden olmaktadır. Bu güvenlik açığı 2.0.3 sürümünde giderilmiştir.
Nasıl düzeltilir
- linuxfoundation sigstore_timestamp_authority2.0.3 ya da sonraki bir sürüm
- github.com/sigstore/timestamp-authority2.0.3 ya da sonraki bir sürüm
- github.com/sigstore/timestamp-authority/v22.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation sigstore_timestamp_authority | v < 2.0.3 | 2.0.3 |
| github.com/sigstore/timestamp-authorityGo | v < 2.0.3, Aralık belirtilmemiş | 2.0.3 |
| github.com/sigstore/timestamp-authority/v2Go | v < 2.0.3 | 2.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.