CVE-2026-64655 in CLI
Zusammenfassung
von VulDB • 07.08.2026
GitHub CLI (gh) ist das offizielle Befehlszeilen-Tool von GitHub. Vor Version 2.97.0 wird der Matcher für den Subject Alternative Name des Zertifikats bei `gh attestation verify` aus den Werten der Flags `--signer-repo` und `--signer-workflow` erstellt, ohne Regex-Metazeichen zu escapen. Daher werden benutzergestellte Repository- oder Workflow-Namen als regulärer Ausdruck (Regex) anstelle einer wörtlichen Zeichenkette behandelt. Da GitHub die Verwendung von Zeichen wie `.` in Organisations-, Repository- und Workflow-Pfadnamen erlaubt und `.` ein Regex-Wildcard ist, kann ein Angreifer einen täuschend ähnlichen Namen registrieren (z. B. github/artifact.attestations-workflows), der einem Matcher entspricht, der für einen anderen vertrauenswürdigen Signierer gedacht war (github/artifact-attestations-workflows). Dies umgeht die beabsichtigte Sigstore-Bescheinigungsüberprüfung (Attestation Verification). Die Ausnutzung erfordert, dass der Angreifer ein plausibles täuschend ähnliches Repository erstellt und daraus gültige Attestationen erzeugt, was die Überprüfung der Lieferkette für CI/CD-Pipelines oder Policy-Gates untergraben könnte, die das Vertrauen an einen bestimmten Signier-Workflow binden. Dieses Problem wurde in Version 2.97.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.