CVE-2026-47191 in kas
Sumário
de VulDB • 14/08/2026
kas é uma ferramenta de configuração para projetos baseados em bitbake. Antes da versão 5.3, ao depender exclusivamente de um ID de commit do git (SHA-1 ou SHA-256) para determinar se a extração (checkout) de um repositório equivale ao estado validado durante a adição do seu ID de commit à configuração kas, os usuários podem ser enganados e realizar o checkout de um branch com o mesmo nome neste repositório. Isso implica que o repositório referenciado foi assumido por um atacante e modificado para conter tal branch. Commits SHA-1 também podem ser substituídos pela criação de colisões de hash, portanto, o principal impacto desta questão está nos IDs de commit SHA-256. A versão 5.3 corrige a falha. Como medida paliativa (workaround), evite depender exclusivamente do ID de commit para validação da integridade de um repositório que possa vir a ser controlado por uma terceira parte maliciosa. Se disponível, valide adicionalmente commits ou tags assinadas criptograficamente. Alternativamente, faça o mirror do repositório para um local seguro, valide sua integridade e utilize este em vez do original.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.