CVE-2026-39395
Açıklama
Cosign, konteynerler ve ikili dosyalar için kod imzalama ve şeffaflık sağlar. 3.0.6 ve 2.6.3 sürümlerinden önce, cosign verify-blob-attestation; hatalı yükleri veya uyuşmayan predicate türlerine sahip kanıtlamalar (attestations) için yanlışlıkla "Verified OK" sonucu bildirebilir. Eski formatlı paketler ve ayrılmış imzalar için bu durum, predicate türü doğrulamasının hata yönetimindeki bir mantık hatasından kaynaklanıyordu. Yeni formatlı paketlerde ise predicate türü doğrulaması tamamen atlanıyordu. Bu güvenlik açığı 3.0.6 ve 2.6.3 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- sigstore cosign2.6.3, 3.0.6 ya da sonraki bir sürüm
- github.com/sigstore/cosign3.0.6, 2.6.3 ya da sonraki bir sürüm
- github.com/sigstore/cosign/v22.6.3 ya da sonraki bir sürüm
- github.com/sigstore/cosign/v33.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sigstore cosign | v < 2.6.3, 3.0.0 ≤ v < 3.0.6 | 2.6.3, 3.0.6 |
| github.com/sigstore/cosignGo | 3.0.0 ≤ v < 3.0.6, v < 2.6.3, Aralık belirtilmemiş | 3.0.6, 2.6.3 |
| github.com/sigstore/cosign/v2Go | v < 2.6.3 | 2.6.3 |
| github.com/sigstore/cosign/v3Go | 3.0.0 ≤ v < 3.0.6 | 3.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.