CVE-2024-51746 in gitsign
Riassunto
di VulDB • 30/06/2026
Gitsign è uno strumento di firma per i commit Git basato su Sigstore senza chiavi private, che utilizza un'identità GitHub / OIDC. Durante la verifica online, gitsign potrebbe selezionare l'entry errata da Rekor quando il log restituisce più entry. Gitsign utilizza l'API di ricerca di Rekor per recuperare le entry relative alla firma in fase di verifica. I parametri utilizzati per la ricerca sono la chiave pubblica e il payload (carico utile). L'API di ricerca restituisce le entry che soddisfano almeno una delle due condizioni, anziché entrambe. Quando viene utilizzata la cache delle credenziali di gitsign, possono esistere più entry che fanno riferimento alla stessa coppia di chiavi effimera / certificato di firma. Poiché gitsign presuppone che Rekor abbia verificato il soddisfacimento di entrambe le condizioni, non è presente una validazione aggiuntiva per accertare che l'hash dell'entry corrisponda al payload in fase di verifica; ciò comporta la possibilità che venga utilizzata un'entry errata per superare con successo la verifica. L'impatto è minimo: sebbene gitsign non verifichi la corrispondenza del payload rispetto all'entry, garantisce comunque che il certificato sia valido. Tale vulnerabilità potrebbe essere sfruttata durante la finestra di validità del certificato (10 minuti) dal titolare della chiave.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.