CVE-2022-36056 in Cosign
요약
\~에 의해 VulDB • 2026. 05. 10.
Cosign은 sigstore 조직의 프로젝트로, 서명을 보이지 않는 인프라로 만드는 것을 목표로 합니다. 1.12.0 이전 버전의 cosign verify-blob에서는 검증이 실패해야 함에도 불구하고 Cosign이 아티팩트를 성공적으로 검증하는 여러 취약점이 발견되었습니다. 첫째, 임베디드 rekorBundle이 해당 서명을 참조하지 않더라도 cosign bundle을 조작하여 blob의 검증을 성공시킬 수 있습니다. 둘째, identity 플래그를 제공할 때 Rekor bundle을 검증하는 동안 인증서의 이메일과 발급자(issuer)가 확인되지 않으며, GitHub Actions의 identity는 전혀 확인되지 않습니다. 셋째, 실험적 플래그(experimental flag) 없이 잘못된 Rekor bundle을 제공하면 검증이 성공합니다. 넷째, 잘못된 투명성 로그(transparency log) 항목이 제공되면 검증이 즉시 성공합니다. 이러한 문제에 대한 세부 사항과 예시는 링크된 GHSA-8gw7-4j42-w388 보안 권고문에서 확인할 수 있습니다. 사용자는 1.12.0으로 업그레이드할 것을 권장합니다. 이러한 문제에 대한 알려진 우회 방법은 없습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.