CVE-2022-36056 in Cosign
Сводка
по VulDB • 11.06.2026
Cosign — это проект в рамках организации sigstore, цель которого заключается в создании невидимой инфраструктуры для цифровых подписей. В версиях до 1.12.0 в утилите cosign verify-blob были обнаружены ряд уязвимостей, при которых Cosign успешно верифицировал артефакт даже тогда, когда проверка должна была завершиться неудачно. Во-первых, можно создать пакет (bundle) так, чтобы он проходил успешную проверку блока данных (blob), даже если встроенный rekorBundle не ссылается на данную подпись. Во-вторых, при использовании флагов идентификации email и издатель сертификата не проверяются при верификации пакета Rekor, а также никогда не проверяется идентичность GitHub Actions. В-третьих, предоставление недопустимого пакета Rekor без использования экспериментального флага приводит к успешной проверке. И наконец, недопустимая запись в журнале прозрачности (transparency log) также приводит к немедленному успеху при верификации. Подробности и примеры этих проблем можно найти в рекомендациях GHSA-8gw7-4j42-w388 по ссылке. Пользователям рекомендуется обновиться до версии 1.12.0. Известных обходных путей для данных уязвимостей не существует.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.