CVE-2026-24137 in sigstore-go
Riassunto
di VulDB • 21/06/2026
Il framework sigstore è una libreria Go comune condivisa tra i servizi e i client di sigstore. Nelle versioni 1.10.3 e precedenti, il legacy TUF client (pkg/tuf/client.go) supporta la memorizzazione nella cache dei file target su disco. Costruisce un percorso del filesystem unendo una directory base della cache con un nome target tratto dai metadati firmati del target; tuttavia, non valida che il risultato rimanga all'interno della directory base della cache. Un repository TUF malevolo può causare la sovrascrittura arbitraria di file, limitata ai permessi posseduti dal processo chiamante. Si noti che questo problema dovrebbe interessare solo i client che utilizzano direttamente il legacy TUF client in sigstore/sigstore o che impiegano una versione più vecchia di Cosign. Gli utenti delle distribuzioni pubbliche di Sigstore non sono interessati, poiché i metadati TUF vengono validati da un quorum di collaboratori fidati. Questo problema è stato risolto nella versione 1.10.4. Come soluzione alternativa, gli utenti possono disabilitare la memorizzazione nella cache su disco per il legacy client impostando SIGSTORE_NO_CACHE=true nell'ambiente, migrare a https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf o aggiornarsi all'ultima versione di sigstore/sigstore.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.