Jku

**Nome do Software Vulnerável e Versões Afetadas** sigstore-python versões anteriores a 4.2.0 **Descrição** O sigstore-python é uma ferramenta Python utilizada para gerar e verificar assinaturas Sigstore. Existe uma falha no fluxo de autenticação OAuth, tornando-o suscetível a Falsificação de Requisição entre Sites. O ` OAuthSession` cria um parâmetro "state" exclusivo para solicitações de autenticação, mas a resposta do servidor não valida esse valor, o que potencialmente permite que atacantes explorem a vulnerabilidade. **Recomendações** Atualize para a versão 4.2.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** versões do tough anteriores a 0.20.0 **Descrição** O problema decorre da falta de validação do número da versão dos metadados root, permitindo que um ator forneça um número de versão arbitrário ao cliente. Isso pode levar o cliente a confiar em uma função root desatualizada ou rotacionada, potencialmente confiando em conteúdo associado a uma função root anterior. Os usuários devem atualizar para uma versão que incorpore as novas correções para prevenir este problema. **Recomendações** Para versões anteriores a 0.20.0, atualize para a versão 0.20.0 ou posterior do tough e garanta que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

**Nome do Software Vulnerável e Versões Afetadas** versões do tough anteriores a 0.20.0 **Descrição** O problema surge da falta de validação de delegação terminadora, fazendo com que o cliente continue pesquisando na lista de delegações definida mesmo após encontrar uma delegação terminadora. Isso pode levar o cliente a buscar um alvo de uma fonte incorreta, alterando o conteúdo do alvo. Delegações são um mecanismo que permite que múltiplas identidades forneçam e assinem conteúdo dentro de um único repositório, sendo que delegações terminadoras e prioridade de delegação conferem controle inequívoco sobre como delegações sobrepostas são resolvidas. No entanto, o cliente tough, erroneamente, não encerra a pesquisa conforme necessário e aceita informações de uma delegação de prioridade mais baixa que deveria ter sido ignorada. Ao interagir com repositórios que utilizam delegações, o cliente tough pode buscar alvos pertencentes à função incorreta, permitindo que um ator com propriedade delegada forneça conteúdos arbitrários. **Recomendações** Para versões anteriores a 0.20.0, atualize para a versão 0.20.0 ou posterior do tough e garanta que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

**Nome do Software Vulnerável e Versões Afetadas** versões do tough anteriores a 0.20.0 **Descrição** O problema ocorre durante um rollback de alvo quando o cliente falha em detectar o rollback para alvos delegados, potencialmente causando a busca de um alvo de uma fonte incorreta e a alteração do conteúdo do alvo. Isso pode levar o cliente a confiar e baixar alvos desatualizados que deveria rejeitar. **Recomendações** Para versões anteriores a 0.20.0, atualize para a versão 0.20.0 ou posterior do tough e garanta que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

**Nome do Software Vulnerável e Versões Afetadas** versões do tough anteriores a 0.20.0 **Descrição** O problema surge durante um rollback de snapshot quando o cliente armazena em cache incorretamente os metadados de timestamp. Isso resulta em uma falha na validação do timestamp de atualização, impedindo atualizações futuras até que o cache seja limpo. O problema ocorre porque o cliente persiste metadados de timestamp inválidos em seu cache, o que pode fazer com que ele identifique incorretamente metadados de timestamp válidos como tendo sofrido rollback. Isso impede o cliente de consumir atualizações válidas. **Recomendações** Para versões anteriores a 0.20.0, atualize para a versão 0.20.0 ou posterior do tough e assegure-se de que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

**Nome do software vulnerável e versões afetadas** Versões do python-tuf anteriores à 0.19 **Descrição** O problema é uma vulnerabilidade de traversal de caminho que pode sobrescrever arquivos com extensão `.json` em qualquer local do sistema do cliente ao chamar `get one valid targetinfo()`. Isso ocorre porque o nome da função (rolename) é usado para formar o nome do arquivo e pode conter caracteres de traversal de caminho, como `../../name.json`. O impacto é mitigado pelo fato de que isso afeta apenas implementações que permitem a seleção arbitrária de nomes de função para metadados de alvos delegados, requer a capacidade de inserir novos metadados e obter a função delegada, e o conteúdo do arquivo gravado deve ser um arquivo de alvos válido e assinado com extensão `.json`. **Recomendações** Para versões anteriores à 0.19, atualize para a versão 0.19 ou mais recente para resolver o problema. Como solução alternativa temporária, considere restringir o conjunto de caracteres permitidos para nomes de função ou armazenar metadados em arquivos nomeados de forma que não sejam vulneráveis, embora essas abordagens exijam a modificação do python-tuf.