CVE-2024-54140

Nome do software vulnerável e versões afetadas:

Versões do sigstore-java anteriores à 1.2.0

Descrição:

O problema está relacionado à verificação insuficiente em uma situação em que um pacote fornece uma assinatura inválida para um ponto de verificação. Isso afeta clientes que utilizam qualquer variação de KeylessVerifier.verify(). O impacto é baixo para clientes que não sejam monitores ou testemunhas, uma vez que outros mecanismos, como carimbos de data/hora de entrada assinados, mitigam esse problema. Um carimbo de data/hora de entrada assinado válido ainda é necessário para que a verificação seja aprovada.

Recomendações:

Para versões anteriores à 1.2.0, atualize para a versão 1.2.0 para corrigir o problema. Como solução alternativa temporária, os verificadores podem optar por verificar o ponto de verificação manualmente após executar KeylessVerifier.verify(), utilizando o código Java fornecido para verificar manualmente a assinatura do ponto de verificação.