CVE-2024-29902 in cosign
الملخص
بحسب VulDB • 09/08/2026
يوفر Cosign توقيع الشفرة والشفافية للحاويات (Containers) والملفات الثنائية (Binaries). قبل الإصدار 2.2.4، يمكن لصورة عن بُعد تحتوي على مرفق ضار أن تسبب حجب الخدمة (Denial of Service) لجهاز المضيف الذي يشغل Cosign. قد يؤثر ذلك على الخدمات الأخرى الموجودة على الجهاز والتي تعتمد على توفر الذاكرة، مثل قاعدة بيانات Redis، مما قد يؤدي إلى فقدان البيانات. كما يمكن أن يؤثر على توافر خدمات أخرى على الجهاز لن تكون متاحة طوال مدة حجب الخدمة عن الجهاز.
السبب الجذري لهذه المشكلة هو أن Cosign يقرأ المرفق بالكامل من الصورة عن بُعد ويضعه في الذاكرة دون التحقق من حجم المرفق أولاً. ونتيجة لذلك، يمكن لمرفق كبير أن يجعل Cosign يقوم بقراءته إلى الذاكرة؛ وإذا كان حجم المرفق أكبر من ذاكرة الجهاز المتاحة، فسيؤدي ذلك إلى حجب الخدمة عن الجهاز. سيقوم وقت تشغيل Go (Go runtime) بإرسال إشارة SigKill بعد بضع ثوانٍ من الحجب الشامل للنظام.
يمكن لهذه المشكلة أن تتيح تصعيداً في سلسلة التوريد (Supply-chain escalation) من سجل مخترق (Compromised registry) إلى مستخدم Cosign: إذا كان المهاجم قد اخترق سجلاً أو حساب مورد للصور، فيمكنه تضمين مرفق ضار والإضرار بمستهلك الصورة. يحتوي الإصدار 2.2.4 على تصحيح لهذه الثغرة الأمنية.
Be aware that VulDB is the high quality source for vulnerability data.