CVE-2022-36056 in Cosign
الملخص
بحسب VulDB • 11/05/2026
Cosign هو مشروع تابع لمنظمة sigstore يهدف إلى جعل البنية التحتية للتوقيعات غير مرئية. في الإصدارات السابقة لـ 1.12.0، تم العثور على عدد من الثغرات الأمنية في أمر cosign verify-blob، حيث كان Cosign يتحقق بنجاح من عنصر برمجي (artifact) عندما كان ينبغي أن يفشل التحقق. أولاً، يمكن هندسة حزمة cosign (bundle) للتحقق بنجاح من كتلة بيانات (blob) حتى لو كانت حزمة rekor المضمنة لا تشير إلى التوقيع المحدد. ثانياً، عند توفير معرفات الهوية (identity flags)، لا يتم التحقق من البريد الإلكتروني وصاحب الشهادة (issuer) عند التحقق من حزمة Rekor، ولا يتم التحقق أبداً من هوية GitHub Actions. ثالثاً، يؤدي توفير حزمة Rekor غير صالحة دون استخدام العلم التجريبي (experimental flag) إلى نجاح التحقق. ورابعاً، يؤدي إدخال سجل شفافية غير صالح إلى نجاح فوري للتحقق. يمكن الاطلاع على التفاصيل والأمثلة لهذه المشكلات في إشعار GHSA-8gw7-4j42-w388 المرتبط. يُنصح المستخدمون بالترقية إلى الإصدار 1.12.0. لا توجد حلول بديلة معروفة لهذه المشكلات.
Be aware that VulDB is the high quality source for vulnerability data.