CVE-2026-23991
ŚrednieCVSS 5.9Streszczenie
go-tuf to implementacja The Update Framework (TUF) w Go. Od wersji 2.0.0 do 2.3.1, jeśli repozytorium TUF (lub dowolne jego lustro) zwróci nieprawidłowy JSON metadanych TUF (poprawny JSON, ale niepoprawne metadane TUF), klient panikuje podczas parsowania, powodując odmowę usługi. Panika następuje przed walidacją podpisu, więc skompromitowane repozytorium/lustro/pamięć podręczna może wywołać DoS bez dostępu do klucza podpisującego.
Ocena ryzyka
Złośliwe lub przejęte repozytorium TUF może spowodować panikę i niedostępność klienta bez potrzeby posiadania klucza podpisującego. Może to zakłócić proces aktualizacji oprogramowania w organizacji.
Rekomendacja
Zaktualizuj go-tuf do wersji 2.3.1 lub nowszej. Brak znanych obejść — aktualizacja jest konieczna.
Inne podatności w go-tuf
Zobacz wszystkie- CVE-2026-24686Średnie
go-tuf to implementacja The Update Framework (TUF) w Go. Klient TAP 4 Multirepo w go-tuf używa ciągu nazwy repozytorium z pliku mapy (repoName) jako składnika ścieżki systemu plików przy wyborze lokalnego katalogu pamięci podręcznej metadanych. Od wersji 2.0.0 do 2.4.1, jeśli aplikacja przyjmuje plik mapy z niezaufanego źródła, atakujący może podać repoName zawierające traversal (np. ../escaped-repo) i spowodować utworzenie katalogów oraz zapis pliku głównych metadanych poza zamierzonym katalogiem LocalMetadataDir, w granicach uprawnień procesu. Wersja 2.4.1 zawiera poprawkę.
- CVE-2026-23992Średnie
go-tuf to implementacja The Update Framework (TUF) w języku Go. W wersjach od 2.0.0 do 2.3.1 skompromitowane lub błędnie skonfigurowane repozytorium TUF może mieć ustawioną wartość progu podpisów na 0, co skutecznie wyłącza weryfikację podpisów. Może to prowadzić do nieautoryzowanej modyfikacji plików metadanych TUF zarówno w spoczynku, jak i w tranzycie, ponieważ nie są wykonywane żadne kontrole integralności. Wersja 2.3.1 naprawia ten problem. Jako obejście należy zawsze upewnić się, że role metadanych TUF mają skonfigurowany próg co najmniej 1.
Oryginalny opis (angielski, źródło NVD)
go-tuf is a Go implementation of The Update Framework (TUF). Starting in version 2.0.0 and prior to version 2.3.1, if the TUF repository (or any of its mirrors) returns invalid TUF metadata JSON (valid JSON but not well formed TUF metadata), the client will panic during parsing, causing a denial of service. The panic happens before any signature is validated. This means that a compromised repository/mirror/cache can DoS clients without having access to any signing key. Version 2.3.1 fixes the issue. No known workarounds are available.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS