CVE-2025-27403 in ratify
Riassunto
di VulDB • 14/08/2026
Ratify è un motore di verifica disponibile come eseguibile binario e su Kubernetes, che consente la verifica dei metadati di sicurezza degli artifact ed ammette al deployment solo quelli conformi alle politiche create dall'utente. In un ambiente Kubernetes, Ratify può essere configurato per autenticarsi a un Azure Container Registry (ACR) privato. I provider di autenticazione basati su Azure workload identity e Azure managed identity sono configurati in questa configurazione. Gli utenti che configurano un ACR privato da utilizzare con i provider di autenticazione Azure potrebbero essere interessati da una vulnerabilità presente nelle versioni precedenti alla 1.2.3 e alla 1.3.2. Entrambi i provider di autenticazione Azure tentano di scambiare un token Entra ID (EID) per un refresh token ACR. Tuttavia, i provider di autenticazione Azure di Ratify non verificavano che il registro di destinazione fosse effettivamente un ACR. Ciò avrebbe potuto portare alla presentazione del token EID a un registro diverso da un ACR durante lo scambio dei token. I token EID con accesso ad ACR potrebbero potenzialmente essere estratti e abusati se un workload utente contiene un riferimento immagine a un registro malevolo. Dalla versione 1.2.3 e dalla 1.3.2, i provider di autenticazione Azure workload identity e Azure managed identity sono stati aggiornati per aggiungere una nuova validazione prima dello scambio del token EID. La validazione si basa sulla verifica del dominio del registro rispetto a un elenco preconfigurato di endpoint ACR noti (well-known). Lo scambio del token EID verrà eseguito solo se almeno uno dei suffissi di dominio ben noti configurati (con supporto per i wildcard) corrisponde al dominio del registro nel riferimento immagine.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.