CVE-2026-24122
Açıklama
Cosign, konteynerler ve ikili dosyalar için kod imzalama ve şeffaflık sağlar. 3.0.4 ve altı sürümlerde, geçerliliği yaprak sertifikadan önce sona eren bir düzenleyici sertifika, sağlanan zaman damgası düzenleyici sertifikanın süresinin dolmuş olması gerektiği anlamına gelse bile doğrulama sırasında geçerli kabul edilir. Bir sertifika kullanarak artefakt imzalarını doğrularken Cosign, önce yaprak sertifikanın "not before" zaman damgasını kullanarak sertifika zincirini doğrular ve daha sonra yaprak sertifikanın süresinin dolup dolmadığını ya Rekor şeffaflık günlüğü veya bir zaman damgası yetkilisi tarafından sağlanan imzalı bir zaman damgasını ya da mevcut zamanı kullanarak kontrol eder. Kök ve tüm düzenleyici sertifikaların, yaprak sertifikanın geçerlilik süresi boyunca geçerli olduğu varsayılır. Genel Sigstore altyapısını kullanan kullanıcılar üzerinde herhangi bir etkisi yoktur. Bu durum, özelleştirilmiş PKI'lara sahip özel dağıtımları etkileyebilir. Bu sorun 3.0.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- sigstore cosign3.0.5 ya da sonraki bir sürüm
- github.com/sigstore/cosign3.0.5 ya da sonraki bir sürüm
- github.com/sigstore/cosign/v33.0.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sigstore cosign | v < 3.0.5 | 3.0.5 |
| github.com/sigstore/cosignGo | v < 3.0.5, Aralık belirtilmemiş | 3.0.5 |
| github.com/sigstore/cosign/v2Go | Aralık belirtilmemiş | — |
| github.com/sigstore/cosign/v3Go | v < 3.0.5 | 3.0.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.