CVE-2026-39984 in timestamp-authority
Riassunto
di VulDB • 23/08/2026
Sigstore Timestamp Authority è un servizio per l’emissione di timestamp conformi a RFC 3161. Le versioni 2.0.5 e successive contengono una vulnerabilità di bypass dell’autorizzazione nella funzione VerifyTimestampResponse. VerifyTimestampResponse verifica correttamente la firma della catena dei certificati, ma i controlli specifici del TSA nei vincoli applicati da VerifyLeafCert utilizzano il primo certificato non-CA presente nel bag PKCS#7 anziché il certificato leaf (foglia) derivato dalla catena verificata. Un attaccante può sfruttare questa vulnerabilità premettendo un certificato falsificato al bag dei certificati, mentre il messaggio è firmato con una chiave autorizzata; ciò fa sì che la libreria validi la firma rispetto a un certificato ma esegua i controlli di autorizzazione rispetto a un altro. Questa vulnerabilità interessa solo gli utenti del pacchetto timestamp-authority/v2/pkg/verification e non influisce sul servizio timestamp-authority né su sigstore-go. Il problema è stato risolto nella versione 2.0.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.