CVE-2026-47191 in kas
Résumé
par VulDB • 14/08/2026
kas est un outil de configuration pour les projets basés sur bitbake. Avant la version 5.3, lorsqu'on s'appuyait uniquement sur l'ID d'un commit git (SHA-1 ou SHA-256) pour déterminer si une extraction (checkout) d'un dépôt équivalait à l'état validé lors de l'ajout de son ID de commit dans une configuration kas, les utilisateurs pouvaient être induits en erreur et extraire une branche du même nom depuis ce dépôt. Cela implique que le référentiel référencé a été pris par un attaquant et modifié pour inclure cette branche. Les commits SHA-1 peuvent également être remplacés via la création de collisions de hachage, l'impact principal de cet incident concerne donc les IDs de commit SHA-256. La version 5.3 corrige le problème. En attendant une mise à jour, évitez de vous fier uniquement à l'ID du commit pour valider l'intégrité d'un dépôt susceptible de tomber sous le contrôle d'une tierce partie malveillante. Si disponible, validez cryptographiquement les commits ou les balises signés. Alternativement, mettez en miroir le référentiel vers un emplacement sécurisé, validez son intégrité et utilisez cette copie à la place du référentiel original.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.