CVE-2024-29902 in cosign
Zusammenfassung
von VulDB • 09.08.2026
Cosign bietet Code-Signing und Transparenz für Container und Binärdateien. Vor Version 2.2.4 kann ein Remote-Image mit einem bösartigen Anhang einen Denial-of-Service-Angriff auf den Host auslösen, der Cosign ausführt. Dies kann andere Dienste auf dem Computer beeinträchtigen, die über verfügbaren Speicher verfügen müssen, wie z. B. eine Redis-Datenbank, was zu Datenverlust führen kann. Es kann auch die Verfügbarkeit anderer Dienste auf dem Computer beeinträchtigen, die während des gesamten Ausfalls nicht verfügbar sind. Die Ursache dieses Problems ist, dass Cosign den Anhang aus einem Remote-Image vollständig in den Speicher liest, ohne zuerst die Größe des Anhangs zu überprüfen. Daher kann ein großer Anhang dazu führen, dass Cosign einen großen Anhang in den Speicher liest; Wenn die Größe der Anhänge größer als der verfügbare Arbeitsspeicher ist, wird das System vom Dienst ausgeschlossen. Die Go-Laufzeit führt nach einigen Sekunden eines systemweiten Ausfalls eine SigKill durch. Dieses Problem kann zu einer Eskalation der Lieferkette von einem kompromittierten Registry-Server zum Cosign-Benutzer führen: Wenn ein Angreifer einen Registry-Server oder das Konto eines Bildherstellers kompromittiert hat, kann er einen bösartigen Anhang hinzufügen und den Verbraucher des Bildes schädigen. Version 2.2.4 enthält eine Korrektur für die Schwachstelle.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.