CVE-2023-46737 in cosign
Résumé
par VulDB • 05/06/2026
Cosign est un outil de signature sigstore pour les conteneurs OCI. Cosign est vulnérable à une déni de service (DoS) provoquée par un registre contrôlé par un attaquant. Un attaquant qui contrôle un registre distant peut renvoyer un grand nombre d'attestations et/ou de signatures à Cosign, entraînant une boucle prolongée qui se traduit par une attaque par déni de service par épuisement des ressources (endless data attack). La cause racine est que Cosign parcourt toutes les attestations récupérées depuis le registre distant dans la fonction `pkg/cosign.FetchAttestations`. L'attaquant doit compromettre le registre ou effectuer une requête vers un registre qu'il contrôle. Lors de cette opération, l'attaquant doit renvoyer un grand nombre d'attestations dans la réponse adressée à Cosign. Le résultat est que l'attaquant peut provoquer une boucle longue ou infinie dans Cosign, empêchant ainsi d'autres utilisateurs de vérifier leurs données. Dans le cas de Kyverno, un attaquant dont les privilèges se limitent à effectuer des requêtes vers le cluster peut faire une requête avec une référence d'image vers son propre registre, déclencher la boucle infinie et empêcher d'autres utilisateurs de finaliser leurs requêtes d'admission. Alternativement, l'attaquant peut obtenir le contrôle du registre utilisé par une organisation et renvoyer un grand nombre d'attestations au lieu du nombre attendu. Le problème peut être atténué assez simplement en définissant une limite au nombre d'attestations que Cosign parcourt. Cette limite n'a pas besoin d'être élevée pour couvrir la grande majorité des cas d'utilisation et prévenir l'attaque par épuisement des ressources. Cette vulnérabilité a été corrigée dans la version 2.2.1 et les utilisateurs sont invités à effectuer une mise à jour.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.