PT-2026-4316
CVE-2026-24137
·
تاريخ النشر
2026-01-22
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 3.1
5.8
متوسطةالمقاييسAV:N/AC:H/PR:H/UI:N/S:C/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
الإصدارات 1.10.3 وما دونها من إطار عمل sigstore
الوصف
يحتوي إطار عمل sigstore، وهو مكتبة Go شائعة الاستخدام في خدمات وعملاء sigstore، على مشكلة في عميل TUF القديم (
pkg/tuf/client.go). يدعم هذا العميل تخزين ملفات الوجهة مؤقتًا على القرص عن طريق إنشاء مسار في نظام الملفات باستخدام دليل أساسي للتخزين المؤقت واسم الوجهة من بيانات التعريف الموقعة للوجهة. ومع ذلك، لا توجد عملية تحقق لضمان بقاء المسار الناتج داخل الدليل الأساسي للتخزين المؤقت. وقد يتيح ذلك لمستودع TUF ضار إجراء الكتابة فوق الملفات بشكل تعسفي، مع تقييد ذلك بأذونات العملية المستدعية. تؤثر هذه المشكلة بشكل أساسي على العملاء الذين يستخدمون عميل TUF مباشرةً داخل sigstore/sigstore أو الإصدارات الأقدم من Cosign. لا يتأثر مستخدمو النشر العام لـ Sigstore، حيث يتم التحقق من صحة بيانات التعريف TUF من قبل مجموعة من المساهمين الموثوق بهم.التوصيات
الإصدارات الأقدم من 1.10.4: قم بالتحديث إلى الإصدار 1.10.4 أو أحدث.
الإصدارات الأقدم من 1.10.4: قم بتعطيل ذاكرة التخزين المؤقتة على القرص لعميل الإصدار القديم عن طريق تعيين متغير البيئة
SIGSTORE NO CACHE إلى true.الإصدارات الأقدم من 1.10.4: قم بالترحيل إلى https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾