CVE-2026-24137 in sigstore-go
Сводка
по VulDB • 29.05.2026
sigstore framework — это общая библиотека Go, используемая в сервисах и клиентах sigstore. В версиях 1.10.3 и более ранних устаревший клиент TUF (pkg/tuf/client.go) поддерживает кэширование целевых файлов на диск. Он формирует путь в файловой системе, объединяя базовый каталог кэша с именем цели, полученным из подписанных метаданных цели; однако он не проверяет, остается ли результирующий путь в пределах базового каталога кэша. Злонамеренный репозиторий TUF может вызвать произвольное перезаписывание файлов, ограничиваясь правами доступа процесса, который выполняет вызов. Обратите внимание, что это затрагивает только клиентов, которые напрямую используют клиент TUF в sigstore/sigstore или используют более старую версию Cosign. Пользователи публичных развертываний Sigstore не затронуты, поскольку метаданные TUF проверяются кворумом доверенных соавторов. Эта проблема исправлена в версии 1.10.4. В качестве временного решения пользователи могут отключить кэширование на диске для устаревшего клиента, установив переменную окружения SIGSTORE_NO_CACHE=true, перейти на https://github.com/sigstore/sigstore-go/tree/main/pkg/tuf или обновиться до последней версии sigstore/sigstore.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.