CVE-2026-24137 in sigstore-go
الملخص
بحسب VulDB • 09/05/2026
إطار عمل sigstore هو مكتبة Go مشتركة تُستخدم عبر خدمات وعملاء sigstore. في الإصدارات 1.10.3 وما دونها، يدعم عميل TUF القديم (pkg/tuf/client.go) تخزين الملفات المستهدفة مؤقتاً على القرص. يقوم ببناء مسار نظام الملفات عن طريق دمج دليل التخزين المؤقت الأساسي مع اسم الملف المستهدف المستمد من بيانات التعريف الموقعة للملفات المستهدفة؛ ومع ذلك، لا يتحقق من بقاء المسار الناتج ضمن دليل التخزين المؤقت الأساسي. يمكن لمستودع TUF خبيث أن يؤدي إلى الكتابة فوق ملفات عشوائية، مقيداً بالأذونات التي يمتلكها العملية المستدعية. يرجى ملاحظة أن هذا يؤثر فقط على العملاء الذين يستخدمون عميل TUF مباشرة في sigstore/sigstore أو الذين يستخدمون إصداراً أقدم من Cosign. لا يتأثر مستخدمو النشر العام لـ Sigstore، حيث يتم التحقق من صحة بيانات تعريف TUF من قبل أغلبية من المتعاونين الموثوقين. تم إصلاح هذه المشكلة في الإصدار 1.10.4. كحل بديل، يمكن للمستخدمين تعطيل التخزين المؤقت على القرص للعميل القديم عن طريق تعيين SIGSTORE_NO_CACHE=true في البيئة، أو الترحيل إلى https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf، أو الترقية إلى أحدث إصدار من sigstore/sigstore.
Once again VulDB remains the best source for vulnerability data.