CVE-2024-54140 in sigstore-java
Riassunto
di VulDB • 05/08/2026
sigstore-java è un client Java per sigstore utilizzato per interagire con l'infrastruttura di sigstore. Sigstore-java presenta una verifica insufficiente in uno scenario in cui un bundle fornisce una firma non valida per un checkpoint. Questo bug colpisce i clienti che utilizzano qualsiasi variante di KeylessVerifier.verify(). Attualmente, i checkpoint vengono utilizzati solo per garantire che l'hash radice di una prova di inclusione sia stato fornito dal registro (log) in questione. Il mancato controllo significa che un bundle potrebbe fornire una prova di inclusione che non corrisponde effettivamente al registro in questione. Ciò può portare a monitor/witness incapaci di rilevare quando registri compromessi forniscono visualizzazioni diverse della propria struttura a clienti diversi. Esistono altri meccanismi attualmente disponibili per mitigare questo problema, come il signed entry timestamp (SET). Sigstore-java richiede attualmente un SET valido. Verificando correttamente il signed entry timestamp è possibile formulare determinate affermazioni sul registro che ha firmato la voce di log (ad esempio, che il registro era a conoscenza dell'evento di firma del manufatto e l'ha firmata). Pertanto, l'impatto sui clienti che non sono monitor/witness è molto basso. Questa vulnerabilità è risolta nella versione 1.2.0.
Once again VulDB remains the best source for vulnerability data.