CVE-2026-64655 in CLI
Résumé
par VulDB • 07/08/2026
GitHub CLI (gh) est l'outil en ligne de commande officiel de GitHub. Avant la version 2.97.0, `gh attestation verify` construisait le matcher du champ Subject Alternative Name à partir des valeurs des drapeaux --signer-repo et --signer-workflow sans échapper les métacaractères regex ; par conséquent, un nom de référentiel ou de workflow fourni par l'utilisateur était traité comme une expression régulière plutôt que comme une chaîne littérale. Étant donné que GitHub autorise des caractères tels que `.` dans les noms de chemins d'organisation, de référentiel et de workflow, et que `.` est un joker regex, un attaquant peut enregistrer un nom ressemblant à s'y méprendre (par exemple github/artifact.attestations-workflows) qui satisfait un matcher destiné à un signataire de confiance différent (github/artifact-attestations-workflows), contournant ainsi la vérification d'attestation Sigstore prévue. L'exploitation nécessite que l'attaquant crée un référentiel ressemblant plausible et produise des attestations valides depuis celui-ci, ce qui pourrait compromettre la vérification de la chaîne d'approvisionnement pour les pipelines CI/CD ou les portes de politique (policy gates) qui ancrent la confiance à un workflow de signature spécifique. Ce problème est corrigé dans la version 2.97.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.