CVE-2022-36056 in Cosign
要約
〜によって VulDB • 2026年06月11日
Cosignは、シグネチャを不可視のインフラストラクチャとすることを目的としたsigstore組織内のプロジェクトです。バージョン1.12.0より前のcosign verify-blobには複数の脆弱性が存在し、検証が失敗すべき状況でもCosignがアーティファクトを検証に成功してしまう問題があります。
第一に、埋め込まれたrekorBundleが特定のシグネチャを参照していない場合であっても、blobの検証を成功させるように作成されたcosignバンドルが存在します。第二に、アイデンティティフラグを提供した場合、Rekorバンドルの検証時に証明書のメールアドレスと発行者がチェックされず、GitHub Actionsのアイデンティティは全くチェックされません。第三に、実験的フラグなしで無効なRekorバンドルを提供すると、検証が成功してしまいます。第四に、無効な透明性ログエントリが存在する場合、検証が即時に成功します。これらの問題の詳細と例については、リンクされているGHSA-8gw7-4j42-w388アドバイザリを参照してください。ユーザーは1.12.0へのアップグレードを推奨されます。これらの問題に対する既知の回避策はありません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.