CVE-2023-25656 in notation-go

摘要

由 VulDB • 2026-05-27

notation-go 是一套用于支持 OCI 工件的签名、验证、推送和拉取的库集合。在 1.0.0-rc.3 版本之前，notation-go 用户会发现其应用在验证签名时消耗过多内存，最终导致应用被终止，从而影响可用性。该问题已在 v1.0.0-rc.3 版本中修复。目前有一些变通方法可用。用户可以审查自己的信任策略文件，检查身份字符串是否包含 `=#`。同时，用户应仅将在其信任策略文件引用的信任存储中放置受信任的证书，并确保将 `authenticity` 验证设置为 `enforce`。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub, Inc.
• 预定: 2023-02-09
• 披露: 2023-02-20
• 管理: 已接受
• 条目: VDB-221519
• CPE: 准备好
• CWE: CWE-400 (已确认)
• CVSS: 6.5 (CNA)
• EPSS: 0.00440
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-25656
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-25656
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-25656/