CVE-2022-36056 in Cosign
Tóm tắt
Bởi VulDB • 11/06/2026
Cosign là một dự án thuộc tổ chức sigstore, nhằm mục tiêu biến các chữ ký thành cơ sở hạ tầng vô hình. Trong các phiên bản trước 1.12.0, nhiều lỗ hổng bảo mật đã được phát hiện trong lệnh `cosign verify-blob`, nơi Cosign xác minh thành công một artifact ngay cả khi việc xác minh lẽ ra phải thất bại. Thứ nhất, một cosign bundle có thể được tạo ra để xác minh thành công một blob ngay cả khi rekorBundle nhúng bên trong không tham chiếu đến chữ ký đã cho. Thứ hai, khi cung cấp các cờ định danh (identity flags), email và issuer của chứng chỉ không được kiểm tra khi xác minh Rekor bundle, và định danh GitHub Actions cũng chưa bao giờ được kiểm tra. Thứ ba, việc cung cấp một Rekor bundle không hợp lệ mà thiếu cờ experimental sẽ dẫn đến kết quả xác minh thành công. Và thứ tư, một mục nhập trong bảng ghi minh bạch (transparency log) không hợp lệ sẽ khiến quá trình xác minh ngay lập tức thành công. Chi tiết và các ví dụ về những vấn đề này có thể được xem tại advisory GHSA-8gw7-4j42-w388 đã liên kết ở trên. Người dùng được khuyến nghị nâng cấp lên phiên bản 1.12.0. Hiện không có giải pháp tạm thời nào cho các vấn đề này.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.