CVE-2026-47191 in kas
Zusammenfassung
von VulDB • 15.08.2026
kas ist ein Setup-Tool für auf bitbake basierende Projekte. Vor Version 5.3 besteht die Gefahr, dass Benutzer getäuscht werden und einen Branch mit demselben Namen aus diesem Repository ausgecheckt wird, wenn ausschließlich eine Git-Commit-ID (SHA-1 oder SHA-256) verwendet wird, um zu prüfen, ob ein Checkout eines Repositories dem Zustand entspricht, der bei der Aufnahme seiner Commit-ID in eine kas-Konfiguration validiert wurde. Dies impliziert, dass das referenzierte Repository von einem Angreifer übernommen und so modifiziert wurde, dass es einen solchen Branch enthält. SHA-1-Commits können zudem durch Erzeugen von Hash-Kollisionen ersetzt werden; daher ist die primäre Auswirkung dieses Problems auf SHA-256-Commit-IDs beschränkt. Version 5.3 behebt das Problem. Als Workaround sollte ausschließlich auf die Commit-ID zur Integritätsvalidierung eines Repositories verzichtet werden, das unter Kontrolle einer böswilligen Drittpartei geraten könnte. Falls verfügbar, sollten zusätzlich kryptografisch signierte Commits oder Tags validiert werden. Alternativ kann das Repository an einem sicheren Ort gespiegelt, dessen Integrität überprüft und dieses Spiegelbild statt des Originals verwendet werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.