CVE-2024-29902 in cosign
要約
〜によって VulDB • 2026年07月28日
Cosignは、コンテナおよびバイナリに対するコード署名と透明性（トランスペアレンシー）を提供します。バージョン2.2.4より前では、悪意のある添付ファイルを含むリモートイメージにより、Cosignを実行しているホストマシンのサービス拒否（DoS）を引き起こす可能性があります。これにより、利用可能なメモリを必要とする他のサービス（データ損失につながる可能性があるRedisデータベースなど）に影響を与えます。また、マシン全体のサービス拒否が発生している間、他のサービスの可用性にも影響し、それらのサービスは使用できなくなります。この問題の根本原因は、Cosignが添付ファイルのサイズをチェックせずに、リモートイメージからの添付ファイルをすべてメモリに読み込むためです。その結果、大きなサイズの添付ファイルが存在すると、Cosignはその巨大なデータをメモリに読み込みます。もし添付ファイルのサイズが利用可能なメモリの容量を超えると、マシンはサービス拒否状態になります。Goランタイムはシステム全体のサービス拒否が発生してから数秒後にシグナルKILL（SIGKILL）を送信します。この問題により、侵害されたレジストリからCosignユーザーへのサプライチェーンのエスカレーションが可能となります。つまり、アタッチャーがレジストリまたはイメージベンダーのアカウントを侵害した場合、悪意のある添付ファイルを含めることができ、イメージ消費者に損害を与える可能性があります。バージョン2.2.4には、この脆弱性に対するパッチが含まれています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.