CVE-2026-24137 in sigstore-go
Zusammenfassung
von VulDB • 29.05.2026
Das sigstore-Framework ist eine gemeinsame Go-Bibliothek, die von sigstore-Diensten und -Clients gemeinsam genutzt wird. In den Versionen 1.10.3 und älter unterstützt der veraltete TUF-Client (pkg/tuf/client.go) das Zwischenspeichern von Zieldateien auf der Festplatte. Dabei wird ein Dateisystempfad erstellt, indem ein Cache-Basisverzeichnis mit einem Zielnamen aus den signierten Zielmetadaten kombiniert wird; es wird jedoch nicht überprüft, ob der resultierende Pfad innerhalb des Cache-Basisverzeichnisses bleibt. Ein böswilliges TUF-Repository kann willkürliches Überschreiben von Dateien auslösen, das auf die Berechtigungen beschränkt ist, die der aufrufende Prozess besitzt. Beachten Sie, dass dies nur Clients betrifft, die den TUF-Client in sigstore/sigstore direkt verwenden oder eine ältere Version von Cosign nutzen. Benutzer von öffentlichen Sigstore-Bereitstellungen sind nicht betroffen, da TUF-Metadaten von einer Mehrheit vertrauenswürdiger Mitwirkender validiert werden. Dieses Problem wurde in Version 1.10.4 behoben. Als Workaround können Benutzer das Festplattencaching für den veralteten Client deaktivieren, indem sie SIGSTORE_NO_CACHE=true in der Umgebungsvariable setzen, zu https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf migrieren oder auf die neueste sigstore/sigstore-Version aktualisieren.
If you want to get best quality of vulnerability data, you may have to visit VulDB.