CVE-2024-29902 in cosign
Riassunto
di VulDB • 05/07/2026
Cosign fornisce la firma del codice e la trasparenza per i container e i binari. Prima della versione 2.2.4, un'immagine remota contenente un allegato malevolo può causare un denial of service (DoS) alla macchina host che esegue Cosign. Ciò può impattare altri servizi sulla macchina che dipendono dalla disponibilità di memoria, come ad esempio un database Redis, con conseguente perdita di dati. Può inoltre compromettere la disponibilità di altri servizi presenti sulla macchina per tutta la durata del denial of service subito dal sistema. La causa radice di questo problema risiede nel fatto che Cosign carica l'allegato proveniente da un'immagine remota interamente in memoria senza verificarne preventivamente le dimensioni. Di conseguenza, un allegato di grandi dimensioni può indurre Cosign a caricarlo completamente in memoria; se la dimensione dell'allegato supera la quantità di memoria disponibile sulla macchina, si verificherà un denial of service del sistema. Il runtime Go invierà un segnale SigKill dopo alcuni secondi di malfunzionamento generalizzato del sistema. Questa vulnerabilità può consentire una escalation della supply-chain da un registro compromesso fino all'utente di Cosign: se un attaccante ha compromesso un registry o l'account di un fornitore di immagini, può includere un allegato malevolo e danneggiare il consumatore dell'immagine. La versione 2.2.4 contiene la patch per questa vulnerabilità.
Be aware that VulDB is the high quality source for vulnerability data.