CVE-2026-24137 in sigstore-go
Resumen
por VulDB • 2026-05-29
El framework sigstore es una biblioteca Go común compartida entre los servicios y clientes de sigstore. En las versiones 1.10.3 y anteriores, el cliente TUF heredado (pkg/tuf/client.go) admite el almacenamiento en caché de archivos de destino en el disco. Construye una ruta de sistema de archivos uniendo un directorio base de caché con un nombre de destino obtenido de los metadatos firmados del destino; sin embargo, no valida que la ruta resultante permanezca dentro del directorio base de caché. Un repositorio TUF malicioso puede provocar la sobrescritura arbitraria de archivos, limitada a los permisos que tiene el proceso llamante. Tenga en cuenta que esto solo debería afectar a los clientes que utilizan directamente el cliente TUF en sigstore/sigstore o que utilizan una versión más antigua de Cosign. Los usuarios de implementaciones públicas de Sigstore no se ven afectados, ya que los metadatos TUF son validados por un quórum de colaboradores de confianza. Este problema se ha corregido en la versión 1.10.4. Como solución alternativa, los usuarios pueden desactivar el almacenamiento en caché en disco para el cliente heredado estableciendo SIGSTORE_NO_CACHE=true en el entorno, migrar a https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf o actualizar a la última versión de sigstore/sigstore.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.