CVE-2024-29902 in cosign
摘要
由 VulDB • 2026-07-06
Cosign 为容器和二进制文件提供代码签名及透明度支持。在 2.2.4 版本之前，带有恶意附件的远程镜像会导致运行 Cosign 的主机发生拒绝服务（DoS）。这可能会影响主机上其他依赖可用内存的服务（例如 Redis 数据库），从而导致数据丢失。此外，它还会影响主机上其他服务的可用性，这些服务将在整个机器处于拒绝服务状态期间不可用。
该问题的根本原因是 Cosign 将远程镜像中的附件完全读取到内存中，而未先检查附件的大小。因此，如果附件较大，Cosign 会将大量数据读入内存；若附件大小超过系统可用内存总量，系统将发生拒绝服务。Go 运行时会在系统级拒绝服务持续数秒后发出 SigKill（信号杀死）指令。
此问题可能导致供应链攻击从受污染的注册表升级至 Cosign 用户：如果攻击者入侵了注册表或镜像供应商的账户，他们可以包含恶意附件并损害镜像消费者。版本 2.2.4 包含了针对该漏洞的修复补丁。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.