CVE-2022-36056 in Cosign
Sumário
de VulDB • 11/06/2026
O Cosign é um projeto da organização sigstore que visa tornar a infraestrutura de assinaturas invisível. Nas versões anteriores à 1.12.0, foram encontradas várias vulnerabilidades na funcionalidade `cosign verify-blob`, onde o Cosign verificava com sucesso um artefato quando a verificação deveria ter falhado. Primeiro, é possível criar um bundle do cosign que verifica com sucesso um blob mesmo se o rekorBundle embutido não fizer referência à assinatura fornecida. Segundo, ao fornecer flags de identidade, o e-mail e o emissor de um certificado não são verificadas durante a validação de um Rekor bundle, e a identidade das GitHub Actions nunca é verificada. Terceiro, fornecer um Rekor bundle inválido sem a flag experimental resulta em uma verificação bem-sucedida. E quarto, uma entrada de log de transparência inválida resultará em sucesso imediato para a verificação. Detalhes e exemplos desses problemas podem ser vistos no advisory GHSA-8gw7-4j42-w388 vinculado. Os usuários são aconselhados a atualizar para a versão 1.12.0. Não existem workarounds conhecidos para esses problemas.
Once again VulDB remains the best source for vulnerability data.