CVE-2026-23831
ŚrednieCVSS 5.3Streszczenie
W Rekor (log przejrzystości łańcucha dostaw oprogramowania) w wersjach 1.4.3 i starszych implementacja wpisu może spowodować panikę przy przetwarzaniu danych kontrolowanych przez atakującego, gdy kanonizowany jest proponowany wpis z pustym polem spec.message. Funkcja validate() zwraca nil (sukces) dla pustej wiadomości, pozostawiając sign1Msg niezainicjalizowany, a Canonicalize() później dereferencjonuje v.sign1Msg.Payload, co prowadzi do dereferencji wskaźnika nil. Wątek jest odzyskiwany, więc klient otrzymuje błąd 500, a usługa działa dalej, więc wpływ na dostępność jest minimalny. Problem naprawiono w wersji 1.5.0.
Ocena ryzyka
Atakujący może wywołać panikę w procesie Rekor, powodując błędy 500 i potencjalne zakłócenia w obsłudze żądań, choć usługa pozostaje dostępna. Ryzyko dla organizacji jest niskie, ale może prowadzić do fałszywych alarmów i obciążenia operacyjnego.
Rekomendacja
Zaktualizuj Rekor do wersji 1.5.0 lub nowszej, która zawiera poprawkę. Monitoruj logi pod kątem błędów 500 związanych z nieprawidłowymi wpisami cose/v0.0.1.
Inne podatności w Rekor
Zobacz wszystkie- CVE-2026-24117Średnie
Rekor w wersjach 1.4.3 i starszych pozwala na SSRF do dowolnych usług wewnętrznych, ponieważ /api/v1/index/retrieve obsługuje pobieranie klucza publicznego z adresu URL podanego przez użytkownika. SSRF może wywoływać tylko żądania GET, nie zmienia stanu, a odpowiedź nie jest zwracana, więc możliwy jest jedynie blind SSRF (sondujący sieć wewnętrzną).
- CVE-2026-48702Wysokie
Rekor, system rejestru przejrzystości łańcucha dostaw, zawiera podatność na atak typu „bomba dekompresyjna” w funkcji `Package.Unmarshal()` dla plików APK. Atakujący może przesłać specjalnie spreparowany plik APK, który po dekompresji zajmuje ogromną ilość pamięci, powodując awarię serwera. Podatność dotyczy wersji od 0.3.0 do 1.5.1 i jest dostępna przez dwa nieuwierzytelnione endpointy.
- CVE-2023-33199Średnie
Podatność w Rekor polega na tym, że źle sformatowany wpis typu `intoto/v0.0.2` może spowodować panikę w wątku procesu Rekor. Mimo to, usługa nadal działa, a użytkownik otrzymuje komunikat o błędzie 500.
Oryginalny opis (angielski, źródło NVD)
Rekor is a software supply chain transparency log. In versions 1.4.3 and below, the entry implementation can panic on attacker-controlled input when canonicalizing a proposed entry with an empty spec.message, causing nil Pointer Dereference. Function validate() returns nil (success) when message is empty, leaving sign1Msg uninitialized, and Canonicalize() later dereferences v.sign1Msg.Payload. A malformed proposed entry of the cose/v0.0.1 type can cause a panic on a thread within the Rekor process. The thread is recovered so the client receives a 500 error message and service still continues, so the availability impact of this is minimal. This issue has been fixed in version 1.5.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS