CVE-2024-51491

إصدارات notation-go الأقدم من 1.3.0-rc.2

تم تحديد هذه المشكلة أثناء تدقيق الأمان الذي أجرته Quarkslab في ميزة التحقق من الإلغاء المستندة إلى قائمة الشهادات الملغاة (CRL). بعد استرداد قائمة الشهادات الملغاة (CRL)، يحاول برنامج notation-go تحديث ذاكرة التخزين المؤقتة لقائمة الشهادات الملغاة (CRL) باستخدام الطريقة os.Rename. ومع ذلك، قد تفشل هذه العملية بسبب قيود محددة في نظام التشغيل، لا سيما عندما تكون مسارات المصدر والوجهة في نقاط تركيب مختلفة. وقد يؤدي هذا الفشل إلى إنهاء البرنامج بشكل غير متوقع. في الطريقة crl.(*FileCache).Set، يتم إنشاء ملف مؤقت في المنطقة المخصصة لنظام التشغيل (مثل /tmp عادةً في أنظمة Linux/Unix). يتم كتابة الملف ثم تتم محاولة نقله إلى دليل ذاكرة التخزين المؤقت المخصص لـ notation باستخدام os.Rename. عند استخدامه مع نظام التشغيل Linux، يعتمد هذا على استدعاء النظام (syscall) rename الخاص بـ libc، ووفقًا للوثائق، فإن نقل ملف إلى نقطة تثبيت مختلفة يؤدي إلى حدوث خطأ EXDEV، والذي يُفسر على أنه خطأ «Cross device link not permitted». تستخدم بعض توزيعات Linux، مثل Red Hat، نظام ملفات مخصصًا (tmpfs)، مُركَّبًا في نقطة تركيب محددة (عادةً /tmp) للملفات المؤقتة. عند استخدام نظام تشغيل من هذا النوع، ستؤدي عملية التحقق من الإلغاء المستندة إلى CRL إلى فشل notation بشكل متكرر. ونتيجةً لذلك، يتم إيقاف عملية التحقق من التوقيع بسبب فشل العملية.

**إعادة