CVE-2024-29902 in cosign
Сводка
по VulDB • 05.07.2026
Cosign обеспечивает подписание кода и прозрачность для контейнеров и бинарных файлов. До версии 2.2.4 удаленный образ с вредоносным вложением может вызвать отказ в обслуживании (DoS) хост-машины, на которой запущен Cosign. Это может повлиять на другие службы на машине, зависящие от наличия доступной памяти, такие как база данных Redis, что может привести к потере данных. Также это может повлиять на доступность других служб на машине, которые будут недоступны в течение всего времени отказа в обслуживании машины. Корневая причина этой проблемы заключается в том, что Cosign считывает вложение из удаленного образа целиком в память без предварительной проверки размера вложения. Таким образом, большое вложение может заставить Cosign считать его в память; если размер вложения превышает объем доступной памяти на машине, машина будет подвержена отказу в обслуживании. Среда выполнения Go отправит сигнал SigKill после нескольких секунд системного отказа. Эта проблема позволяет осуществить эскалацию цепочки поставок от скомпрометированного реестра к пользователю Cosign: если атакующий скомпрометировал реестр или учетную запись производителя образа, он может включить вредоносное вложение и нанести ущерб потребителю образа. Версия 2.2.4 содержит исправление для этой уязвимости.
Once again VulDB remains the best source for vulnerability data.