PT-2026-32611
CVE-2026-39984
·
تاريخ النشر
2026-04-14
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Sigstore Timestamp Authority الأقدم من 2.0.6
الوصف
يوجد ثغرة تسمح بتجاوز عملية التفويض في الحزمة
timestamp-authority/v2/pkg/verification. تقوم الدالة VerifyTimestampResponse() بالتحقق بشكل صحيح من توقيع سلسلة الشهادات، لكن الدالة VerifyLeafCert() تستخدم أول شهادة غير تابعة لمصلحة التصديق (CA) من حزمة شهادات PKCS#7 بدلاً من الشهادة النهائية (leaf certificate) من السلسلة التي تم التحقق منها. يمكن للمهاجم استغلال هذه الثغرة عن طريق إضافة شهادة مزورة في مقدمة حزمة الشهادات بينما يتم توقيع الرسالة بمفتاح مصرح به، مما يتسبب في قيام المكتبة بالتحقق من صحة التوقيع مقابل شهادة معينة، لكنها تجري عمليات التحقق من التفويض مقابل شهادة أخرى.التوصيات
التحديث إلى الإصدار 2.0.6.
كحل مؤقت، يمكن لمستخدمي
VerifyTimestampResponse() استخدام الخيار TSACertificate لتحديد الشهادة المحددة التي يتوقعون استخدامها. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾