CVE-2024-29902 in cosignالمعلومات

الملخص

بحسب VulDB • 09/08/2026

يوفر Cosign توقيع الشفرة والشفافية للحاويات (Containers) والملفات الثنائية (Binaries). قبل الإصدار 2.2.4، يمكن لصورة عن بُعد تحتوي على مرفق ضار أن تسبب حجب الخدمة (Denial of Service) لجهاز المضيف الذي يشغل Cosign. قد يؤثر ذلك على الخدمات الأخرى الموجودة على الجهاز والتي تعتمد على توفر الذاكرة، مثل قاعدة بيانات Redis، مما قد يؤدي إلى فقدان البيانات. كما يمكن أن يؤثر على توافر خدمات أخرى على الجهاز لن تكون متاحة طوال مدة حجب الخدمة عن الجهاز.

السبب الجذري لهذه المشكلة هو أن Cosign يقرأ المرفق بالكامل من الصورة عن بُعد ويضعه في الذاكرة دون التحقق من حجم المرفق أولاً. ونتيجة لذلك، يمكن لمرفق كبير أن يجعل Cosign يقوم بقراءته إلى الذاكرة؛ وإذا كان حجم المرفق أكبر من ذاكرة الجهاز المتاحة، فسيؤدي ذلك إلى حجب الخدمة عن الجهاز. سيقوم وقت تشغيل Go (Go runtime) بإرسال إشارة SigKill بعد بضع ثوانٍ من الحجب الشامل للنظام.

يمكن لهذه المشكلة أن تتيح تصعيداً في سلسلة التوريد (Supply-chain escalation) من سجل مخترق (Compromised registry) إلى مستخدم Cosign: إذا كان المهاجم قد اخترق سجلاً أو حساب مورد للصور، فيمكنه تضمين مرفق ضار والإضرار بمستهلك الصورة. يحتوي الإصدار 2.2.4 على تصحيح لهذه الثغرة الأمنية.

Be aware that VulDB is the high quality source for vulnerability data.

مسؤول

GitHub, Inc.

حجز

21/03/2024

إفشاء

11/04/2024

الاعتدال

تمت الموافقة

إدخال

VDB-260361

EPSS

0.00658

KEV

لا

النشاطات

منخفض جدًا

المصادر

Do you know our Splunk app?

Download it now for free!