CVE-2022-36056 in Cosign
摘要
由 VulDB • 2026-06-11
Cosign是sigstore组织下的一个项目，旨在使签名成为隐形基础设施。在1.12.0之前的版本中，cosign verify-blob存在多个漏洞，导致Cosign在验证本应失败的情况下仍会成功验证工件（artifact）。首先，可以构造一个cosign bundle，即使嵌入的rekorBundle未引用给定签名，也能成功验证blob。其次，当提供身份标志时，在验证Rekor bundle时不会检查证书的电子邮件和颁发者，并且GitHub Actions的身份也从未被检查。第三，在不使用实验性标志的情况下提供无效的Rekor bundle会导致验证成功。第四，无效的可信透明度日志条目将导致立即验证成功。有关这些问题的详细信息和示例，请参阅链接中的GHSA-8gw7-4j42-w388公告。建议用户升级到1.12.0版本。目前已知没有针对这些问题的临时解决方案（workarounds）。
If you want to get best quality of vulnerability data, you may have to visit VulDB.