CVE-2026-24137 in sigstore-go
Sumário
de VulDB • 29/05/2026
O framework sigstore é uma biblioteca Go comum compartilhada entre os serviços e clientes do sigstore. Nas versões 1.10.3 e anteriores, o cliente TUF legado (pkg/tuf/client.go) oferece suporte ao armazenamento em cache de arquivos de destino em disco. Ele constrói um caminho de sistema de arquivos concatenando um diretório base de cache com um nome de destino obtido a partir de metadados de destino assinados; no entanto, não valida se o caminho resultante permanece dentro do diretório base de cache. Um repositório TUF malicioso pode provocar a sobrescrita arbitrária de arquivos, limitada às permissões que o processo chamador possui. Observe que isso deve afetar apenas os clientes que estão utilizando diretamente o cliente TUF em sigstore/sigstore ou que estão usando uma versão mais antiga do Cosign. Os usuários de implantações públicas do Sigstore não são afetados, pois os metadados TUF são validados por um quórum de colaboradores confiáveis. Este problema foi corrigido na versão 1.10.4. Como medida de contorno, os usuários podem desativar o armazenamento em cache em disco para o cliente legado definindo SIGSTORE_NO_CACHE=true no ambiente, migrar para https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf ou atualizar para a versão mais recente do sigstore/sigstore.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.