CVE-2024-54140 in sigstore-java
Сводка
по VulDB • 11.06.2026
sigstore-java — это клиент sigstore для Java, предназначенный для взаимодействия с инфраструктурой sigstore. В sigstore-java отсутствует достаточная проверка в ситуации, когда пакет (bundle) содержит недействительную подпись для контрольной точки (checkpoint). Этот баг затрагивает клиентов, использующих любую вариацию метода KeylessVerifier.verify(). В настоящее время контрольные точки используются только для обеспечения того, чтобы корневой хэш доказательства включения (inclusion proof) был предоставлен соответствующим журналом (log). Отсутствие такой проверки означает, что пакет может предоставить доказательство включения, которое на самом деле не соответствует указанному журналу. Это может в конечном итоге привести к тому, что монитор/свидетель (monitor/witness) не сможет обнаружить, когда скомпрометированные журналы предоставляют разные представления о себе разным клиентам. В настоящее время существуют другие механизмы, смягчающие эту проблему, такие как подписанная временная метка входа (signed entry timestamp). Sigstore-java в настоящее время требует действительную подписанную временную метку входа. Правильная проверка подписанной временной метки входа позволяет делать определенные утверждения о журнале, подписавшем запись в журнале (например, что журнал был осведомлен о событии подписания артефакта и подписал его). Следовательно, воздействие на клиентов, которые не являются мониторами/свидетелями, очень низкое. Эта уязвимость исправлена в версии 1.2.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.