CVE-2026-31961

Quill, herhangi bir platformdan basit mac ikili dosya imzalama ve noter onaylama hizmeti sağlar. v0.7.1 sürümünden önceki Quill, Mach-O ikili dosyalarını ayrıştırırken sınırsız bellek tahsisi zafiyeti içermektedir. İstismar edilmesi için Quill'in saldırgan tarafından sağlanan bir Mach-O ikili dosyasını işlemesi gerekir; bu durum çoğunlukla CI/CD boru hatları, paylaşılan imzalama servisleri veya dışarıdan gönderilen ikili dosyaların imzalama için kabul edildiği iş akışları gibi ortamlarda gerçekleşir. Bir Mach-O ikili dosyasını ayrıştırırken Quill, LC_CODE_SIGNATURE yükleme komutundan ve gömülü kod imzalama yapılarından (SuperBlob, BlobIndex) birkaç boyut ve sayı alanı okur ve değerlerin makul olduğunu veya gerçek dosya boyutuyla tutarlı olduğunu doğrulamadan bunları bellek tamponları tahsis etmek için kullanır. Etkilenen alanlar arasında yükleme komutundaki DataSize, DataOffset ve Size ile SuperBlob başlığındaki Count ve bireysel blob başlıklarındaki Length yer almaktadır. Bir saldırgan, bu alanlarda aşırı büyük değerler içeren minimal (~4KB) kötü amaçlı bir Mach-O ikili dosyası oluşturarak Quill'in aşırı bellek tahsis etmeye çalışmasına neden olabilir. Bu durum, bellek tükenmesine ve hizmet reddine yol açarak potansiyel olarak ana sürecin çökmesine neden olur. Güvenilmeyen Mach-O dosyalarını ayrıştırmak için kullanıldığında hem Quill CLI hem de Go kütüphanesi etkilenmektedir. Bu zafiyet 0.7.1 sürümünde giderilmiştir.