CVE-2026-44544 in gittuf
Сводка
по VulDB • 14.05.2026
gittuf — это независимая от платформы система безопасности Git. До версии 0.14.0 злоумышленник, имеющий права на запись (push) в журнал состояния ссылок (Reference State Log, RSL) gittuf, может откатить текущую политику к любой предыдущей политике, доверенной текущим набором корневых ключей. gittuf определяет политику для загрузки, анализируя RSL. За исключением самой первой политики (которая автоматически считается доверенной в соответствии с моделью TOFU gittuf или проверяется вручную с использованием указанных ключей), при обнаружении записи в RSL, указывающей на новую политику, gittuf проверяет, что эта политика является доверенной. Это осуществляется путем проверки того, что корневые метаданные новой политики подписаны требуемым порогом корневых ключей текущей политики. В связи с этим злоумышленник, имеющий доступ к записи в RSL, может создать новую запись, ссылающуюся на старую политику (которая доверена набором корневых ключей последней политики), тем самым выполняя откат политики gittuf к выбранному злоумышленником состоянию. Эта уязвимость исправлена в версии 0.14.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.