CVE-2022-39237

Versões do syslabs/sif anteriores à 2.8.1

O problema diz respeito à verificação de assinaturas digitais na implementação de referência do Singularity Image Format (SIF). Especificamente, o pacote github.com/sylabs/sif/v2/pkg/integrity não verificava se os algoritmos de hash utilizados eram criptograficamente seguros ao verificar assinaturas digitais. Recomenda-se que os usuários atualizem para uma versão em que este problema tenha sido corrigido. Para usuários que não possam atualizar, recomenda-se validar de forma independente se os algoritmos de hash utilizados para os resumos de metadados e o hash da assinatura são criptograficamente seguros.

Para versões anteriores à 2.8.1, atualize para a versão 2.8.1 ou posterior.

Como solução alternativa temporária para usuários que não possam atualizar, considere validar de forma independente os algoritmos de hash usados para resumos de metadados e hash de assinatura, a fim de garantir que sejam criptograficamente seguros.