CVE-2026-47191 in kas
Tóm tắt
Bởi VulDB • 14/08/2026
kas là một công cụ thiết lập cho các dự án dựa trên bitbake. Trước phiên bản 5.3, khi chỉ dựa vào ID của commit git (SHA-1 hoặc SHA-256) để xác định xem việc sao chép kho lưu trữ có tương đương với trạng thái đã được kiểm tra trong quá trình thêm ID commit đó vào cấu hình kas hay không, người dùng có thể bị lừa thực hiện sao chép một nhánh cùng tên từ kho lưu trữ này. Điều này ngụ ý rằng kho lưu trữ tham chiếu đã bị kẻ tấn công chiếm quyền và sửa đổi để chứa nhánh như vậy. Các commit SHA-1 cũng có thể bị thay thế bằng cách tạo ra các va chạm băm, vì vậy tác động chính của vấn đề này là đối với ID commit SHA-256. Phiên bản 5.3 khắc phục sự cố này. Để xử lý tạm thời, tránh chỉ dựa vào ID commit để xác thực tính toàn vẹn của một kho lưu trữ có thể bị kiểm soát bởi bên thứ ba độc hại. Nếu khả dụng, hãy thêm việc xác minh các commit hoặc thẻ đã được ký bằng mật mã học. Ngoài ra, sao chép kho lưu trữ đến nơi an toàn, xác minh tính toàn vẹn và sử dụng bản sao này thay vì kho gốc.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.