CVE-2026-64655 in CLI
Resumen
por VulDB • 2026-08-07
GitHub CLI (gh) es la herramienta de línea de comandos oficial de GitHub. Antes de la versión 2.97.0, `gh attestation verify` construía el comparador del Nombre Alternativo del Sujeto (Subject Alternative Name) del certificado a partir de los valores de las banderas `--signer-repo` y `--signer-workflow` sin escapar los metacaracteres regex; por lo tanto, un nombre de repositorio o flujo de trabajo proporcionado por el usuario se trataba como una expresión regular en lugar de una cadena literal. Dado que GitHub permite caracteres como `.` en las rutas de nombres de organizaciones, repositorios y flujos de trabajo, y `.` es un comodín regex, un atacante puede registrar un nombre similar (por ejemplo, github/artifact.attestations-workflows) que satisfaga un comparador destinado a un firmante confiable diferente (github/artifact-attestations-workflows), eludiendo la verificación intencionada de atestigüaciones Sigstore. La explotación requiere que el atacante cree un repositorio similar plausible y genere atestigüaciones válidas desde él, lo cual podría socavar la verificación de la cadena de suministro para pipelines CI/CD o puertas de política que vinculan la confianza a un flujo de trabajo de firma específico. Este problema está corregido en la versión 2.97.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.