CVE-2026-24137 in sigstore-go
요약
\~에 의해 VulDB • 2026. 05. 10.
sigstore 프레임워크는 sigstore 서비스 및 클라이언트 전반에서 공유되는 공통 Go 라이브러리입니다. 버전 1.10.3 이하에서 레거시 TUF 클라이언트(pkg/tuf/client.go)는 대상 파일을 디스크에 캐싱하는 기능을 지원합니다. 이 클라이언트는 캐시 기본 디렉토리와 서명된 대상 메타데이터에서 가져온 대상 이름을 결합하여 파일 시스템 경로를 구성하지만, 생성된 경로가 캐시 기본 디렉토리 내에 머무르는지 여부를 검증하지 않습니다. 악의적인 TUF 저장소는 호출 프로세스가 가진 권한의 범위 내에서 임의의 파일 덮어쓰기를 유발할 수 있습니다. 이 문제는 sigstore/sigstore에서 TUF 클라이언트를 직접 사용하거나 Cosign의 이전 버전을 사용하는 클라이언트에만 영향을 미친다는 점에 유의하십시오. 공개 Sigstore 배포 사용자는 신뢰할 수 있는 협력자 다수결(quorum)에 의해 TUF 메타데이터가 검증되므로 영향을 받지 않습니다. 이 문제는 버전 1.10.4에서 수정되었습니다. 우회 조치로 사용자는 환경 변수에 SIGSTORE_NO_CACHE=true를 설정하여 레거시 클라이언트의 디스크 캐싱을 비활성화하거나, https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf로 마이그레이션하거나, 최신 sigstore/sigstore 릴리스로 업그레이드할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.