CVE-2026-39984
Açıklama
Sigstore Timestamp Authority, RFC 3161 zaman damgaları düzenlemek için kullanılan bir servistir. 2.0.5 ve altı sürümler, VerifyTimestampResponse fonksiyonunda bir kimlik doğrulama atlatma zafiyeti içermektedir. VerifyTimestampResponse sertifika zinciri imzasını doğru şekilde doğrular ancak VerifyLeafCert içerisindeki TSA'ya özgü kısıtlama kontrolleri, doğrulanmış zincirdeki yaprak sertifika yerine PKCS#7 sertifika torbasındaki ilk CA olmayan sertifikayı kullanır. Bir saldırgan, mesaj yetkili bir anahtarla imzalanmışken sertifika torbasının başına sahte bir sertifika ekleyerek bu durumu istismar edebilir; bu da kütüphanenin imzayı bir sertifikaya göre doğrulamasına ancak yetkilendirme kontrollerini başka bir sertifikaya göre gerçekleştirmesine neden olur. Bu zafiyet yalnızca timestamp-authority/v2/pkg/verification paketini kullanan kullanıcıları etkilemekte olup, timestamp-authority servisinin kendisini veya sigstore-go'yu etkilememektedir. Sorun 2.0.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- linuxfoundation sigstore_timestamp_authority2.0.6 ya da sonraki bir sürüm
- github.com/sigstore/timestamp-authority/v22.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation sigstore_timestamp_authority | v < 2.0.6 | 2.0.6 |
| github.com/sigstore/timestamp-authority/v2Go | v < 2.0.6 | 2.0.6 |
| github.com/sigstore/timestamp-authorityGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.