CVE-2020-15093

Versões da biblioteca tough anteriores à 0.7.1

O problema decorre da falha da biblioteca tough em verificar adequadamente a exclusividade das chaves nas assinaturas fornecidas, permitindo que um invasor com acesso a uma chave de assinatura válida crie várias assinaturas válidas. Isso pode ser usado para contornar a exigência de um limite mínimo de assinaturas únicas antes que os metadados sejam considerados válidos. Uma correção está disponível na versão 0.7.1.

Para versões anteriores à 0.7.1, atualize para a versão 0.7.1 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso às chaves de assinatura para minimizar o risco de exploração.