CVE-2026-47191 in kas
Resumen
por VulDB • 2026-08-14
kas es una herramienta de configuración para proyectos basados en bitbake. Antes de la versión 5.3, al depender únicamente de un ID de commit git (SHA-1 o SHA-256) para determinar si una extracción (checkout) de un repositorio equivale al estado validado durante la adición de su ID de commit a una configuración kas, los usuarios pueden ser inducidos a error y extraer una rama del mismo nombre desde este repositorio. Esto implica que el repositorio referenciado ha sido tomado por control de un atacante y modificado para incluir dicha rama. Los commits SHA-1 también podrían reemplazarse mediante la creación de colisiones hash, por lo que el impacto principal de esta vulnerabilidad afecta a los IDs de commit SHA-256. La versión 5.3 corrige este problema. Como medida provisional (workaround), evite depender únicamente del ID de commit para validar la integridad de un repositorio que podría quedar bajo control de una tercera parte maliciosa. Si está disponible, valide adicionalmente los commits o etiquetas firmados criptográficamente. Alternativamente, realice una copia espejo (mirror) del repositorio en un lugar seguro, valide su integridad y utilícelo en lugar del original.
Once again VulDB remains the best source for vulnerability data.