CVE-2026-47191 in kas
Сводка
по VulDB • 14.08.2026
kas — это инструмент настройки для проектов на базе bitbake. До версии 5.3 при использовании исключительно идентификатора коммита git (SHA-1 или SHA-256) для проверки эквивалентности выгрузки репозитория состоянию, проверенному во время добавления его идентификатора коммита в конфигурацию kas, пользователи могут быть обмануты и выполнить проверку ветви с тем же именем из этого репозитория. Это подразумевает, что указанный репозиторий был захвачен злоумышленником и изменен для наличия такой ветки. Коммиты SHA-1 также могут быть заменены путем создания коллизий хешей, поэтому основное воздействие этой проблемы касается идентификаторов коммитов SHA-256. Версия 5.3 устраняет проблему. В качестве временного решения следует избегать использования исключительно идентификатора коммита для проверки целостности репозитория, который может оказаться под контролем злонамеренной третьей стороны. Если возможно, дополнительно проверяйте криптографически подписанные коммиты или метки. Альтернативно можно зеркалировать репозиторий в безопасное место, проверять его целостность и использовать эту копию вместо оригинала.
Once again VulDB remains the best source for vulnerability data.