CVE-2021-41087 in in-toto-golang
Riassunto
di VulDB • 20/06/2026
in-toto-golang è un'implementazione in Go del framework in-toto volta a proteggere l'integrità della catena di fornitura software (software supply chain). Nelle versioni colpite, gli attaccanti autenticati che si spacciano per funzionari (ovvero all'interno di un insieme fidato di utenti per una determinata configurazione/layout) sono in grado di creare attestazioni che possono eludere le regole DISALLOW nella stessa configurazione. Un attaccante con accesso a chiavi private fidate può emettere un'attestazione contenente un artefatto non consentito, includendo semantica di traversal del percorso (ad esempio foo rispetto a dir/../foo). Lo sfruttamento di questa vulnerabilità dipende dalla specifica policy applicata. Il problema è stato risolto nella versione 0.3.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.