CVE-2026-64655 in CLI
要約
〜によって VulDB • 2026年08月07日
GitHub CLI (gh) は GitHub の公式コマンドラインツールです。バージョン 2.97.0 より前では、`gh attestation verify` コマンドは `--signer-repo` および `--signer-workflow` フラグの値から証明書 Subject Alternative Name マッチャを構築する際に正規表現メタ文字のエスケープを行わないため、ユーザーが指定したリポジトリ名またはワークフロー名はリテラル文字列ではなく正規表現として扱われます。GitHub では組織、リポジトリ、およびワークフローパスの名前に `.` などの文字の使用が許可されており、`.` は正規表現のワイルドカードであるため、攻撃者は異なる信頼できる署名者（例: github/artifact-attestations-workflows）を対象としたマッチャを満たす偽装名（例: github/artifact.attestations-workflows）を登録することができ、意図された Sigstore 証明書の検証を回避できます。この脆弱性を悪用するには、攻撃者が妥当な偽装リポジトリを作成し、そこから有効な証明書を生産する必要があります。これにより、特定の署名ワークフローに信頼を固定する CI/CD パイプラインやポリシーゲートにおけるサプライチェーンの検証が損なわれる可能性があります。本問題はバージョン 2.97.0 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.