CVE-2026-49835
Açıklama
Sigstore Timestamp Authority, RFC 3161 zaman damgaları düzenlemek için kullanılan bir servistir. 2.1.0 sürümünden önce, global wrapMetrics ara yazılımı, yönlendirme öncesinde gecikme ve istek sayısı metrik vektörleri için ham HTTP istek yolu r.URL.Path ve ham HTTP istek yöntemi r.Method değerlerini Prometheus etiketleri olarak kaydetmektedir; bu durum, kimliği doğrulanmamış uzak bir saldırganın /api/v1/timestamp/<uuid> gibi rastgele yollarla veya rastgele HTTP yöntemleriyle istekler göndererek belleği tüketen sınırsız kalıcı zaman serisi girişleri oluşturmasına olanak tanır. Bu sorun 2.1.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- linuxfoundation sigstore_timestamp_authority2.1.0 ya da sonraki bir sürüm
- github.com/sigstore/timestamp-authority/v22.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation sigstore_timestamp_authority | v < 2.1.0 | 2.1.0 |
| github.com/sigstore/timestamp-authority/v2Go | v < 2.1.0 | 2.1.0 |
| github.com/sigstore/timestamp-authorityGo | v ≤ 1.2.9, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.