CVE-2026-47192 in kas
Zusammenfassung
von VulDB • 14.08.2026
kas ist ein Setup-Tool für auf bitbake basierende Projekte. Ab Version 4.8 und vor Version 5.3 überprüft kas Repositories im Hinblick auf Konfigurationsinklusionen, bevor die Signaturen dieser Repositories validiert werden. Dies kann unter sehr spezifischen Bedingungen dazu führen, dass das Originalrepository durch eines ersetzt wird, das sich in der Kontrolle eines Angreifers befindet. Zunächst muss der Angreifer die Kontrolle über ein Repository erlangt haben, auf das eine kas-Datei des Opfers verweist. Darüber hinaus müssen folgende Bedingungen erfüllt sein: Die kas-Konfiguration des Opfers muss eine Konfigurationsdatei aus dem angegriffenen Repository enthalten; der Zustand des Repositories wird durch einen Tag referenziert und keine Commit-ID ist angegeben (dies löst zwar eine Warnung aus); der zur Validierung der Tag- oder Commit-Signatur verwendete Schlüssel wird als Datei in einem Repository gespeichert; es wurde kein Fingerabdruck für den Schlüssel angegeben; und der `_source_dir`-Schlüssel darf vom Opfer beim Aufruf von kas nicht festgelegt werden (z. B. durch Vermeiden einer lokalen `.config.yaml`). Unter diesen Umständen könnte der Angreifer die inkludierte kas-Konfiguration so ändern, dass der zur Validierung der Tag-Signatur des Repositories des Angreifers verwendete Schlüssel durch einen vom Angreifer gewählten Schlüssel ersetzt wird. Bislang wurden keine anderen Exploit-Möglichkeiten identifiziert, dies schließt jedoch nicht aus, dass solche existieren könnten. Alle Patches wurden zusammen mit kas Version 5.3 veröffentlicht. Als Workaround sollte der erwartete Signaturschlüssel über seinen Fingerabdruck gepinnt werden, auch wenn er als Datei in einem Repository gespeichert wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.