CVE-2022-36056 in Cosign
Résumé
par VulDB • 11/06/2026
Cosign est un projet de l'organisation sigstore qui vise à rendre les signatures invisibles au niveau des infrastructures. Dans les versions antérieures à la 1.12.0, plusieurs vulnérabilités ont été identifiées dans cosign verify-blob : Cosign vérifiait avec succès un artefact alors que cette vérification aurait dû échouer. Premièrement, une bundle (paquet) cosign peut être conçue de manière à valider correctement un blob même si le rekorBundle intégré ne fait pas référence à la signature concernée. Deuxièmement, lors de l'utilisation des indicateurs d'identité (identity flags), ni l'email ni l'émetteur du certificat ne sont vérifiés lors de la validation d'un bundle Rekor, et l'identité GitHub Actions n'est jamais contrôlée. Troisièmement, fournir un bundle Rekor invalide sans utiliser le flag expérimental entraîne une vérification réussie. Enfin, une entrée de journal de transparence (transparency log) invalide conduit à un succès immédiat de la vérification. Les détails et des exemples concernant ces problèmes sont disponibles dans l'avis GHSA-8gw7-4j42-w388 lié auxdites vulnérabilités. Il est recommandé aux utilisateurs d'effectuer une mise à jour vers la version 1.12.0. Aucune solution de contournement (workaround) n'est connue pour ces problèmes.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.