CVE-2024-29902

Versões do Cosign anteriores à 2.2.4

O Cosign oferece assinatura de código e transparência para contêineres e binários. Uma imagem remota com um anexo malicioso pode causar uma negação de serviço na máquina host que executa o Cosign, afetando outros serviços na máquina que dependem de memória disponível, como um banco de dados Redis, o que pode resultar em perda de dados. A causa principal desse problema é que o Cosign lê o anexo de uma imagem remota inteiramente na memória sem verificar primeiro o tamanho do anexo. Isso pode permitir uma escalada na cadeia de suprimentos, partindo de um registro comprometido até o usuário do Cosign. Se um anexador tiver comprometido um registro ou a conta de um fornecedor de imagens, ele poderá incluir um anexo malicioso e prejudicar o consumidor da imagem.

Atualize para a versão 2.2.4 ou posterior, que limita o número de anexos e inclui um patch para a vulnerabilidade. Como solução alternativa temporária, considere restringir o tamanho dos anexos que podem ser lidos na memória para evitar negação de serviço. Além disso, uma variável de ambiente pode substituir o valor padrão para o número de anexos.