Shiwei Zhang

اسم البرنامج المعرض للخطر والإصدارات المتأثرة: إصدارات Ratify الأقدم من 1.2.3 إصدارات Ratify الأقدم من 1.3.2 الوصف: تتعلق المشكلة بآلية تحقق تتيح التحقق من البيانات الوصفية للأمان الخاصة بالأرتفات. في بيئة Kubernetes، يمكن تكوين الآلية للمصادقة في سجل حاويات Azure (ACR) خاص باستخدام مزودي المصادقة «هوية حمل العمل في Azure» و«الهوية المُدارة في Azure». يحاول هذان المزودان استبدال رمز Entra ID (EID) برمز تحديث ACR. ومع ذلك، لم تكن هذه المزودات تتحقق مما إذا كان السجل الوجهة هو سجل ACR، مما قد يؤدي إلى تقديم رمز EID إلى سجل غير تابع لـ ACR أثناء عملية استبدال الرموز. وقد يؤدي ذلك إلى إمكانية استخراج رموز EID التي تتمتع بالوصول إلى ACR وإساءة استخدامها في حالة احتواء أحد أحمال عمل المستخدم على مرجع صورة لسجل ضار. التوصيات: بالنسبة للإصدارات الأقدم من 1.2.3، قم بالتحديث إلى الإصدار 1.2.3 أو أحدث لإضافة عملية تحقق جديدة قبل تبادل رمز EID. بالنسبة للإصدارات الأقدم من 1.3.2، قم بالتحديث إلى الإصدار 1.3.2 أو أحدث لإضافة عملية تحقق جديدة قبل تبادل رمز EID. كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى مزودي المصادقة في Azure حتى يتم حل المشكلة. تجنب استخدام مراجع الصور للسجلات الضارة لتقليل مخاطر الاستغلال.

The issue causes excessive memory consumption when verifying signatures, leading to application crashes and impacting availability. Users can review their trust policy file for the identity string containing `=#` and ensure only trusted certificates are in their trust stores with `authenticity` validation set to `enforce`.