CVE-2026-24686
ŚrednieCVSS 4.7Streszczenie
go-tuf to implementacja The Update Framework (TUF) w Go. Klient TAP 4 Multirepo w go-tuf używa ciągu nazwy repozytorium z pliku mapy (repoName) jako składnika ścieżki systemu plików przy wyborze lokalnego katalogu pamięci podręcznej metadanych. Od wersji 2.0.0 do 2.4.1, jeśli aplikacja przyjmuje plik mapy z niezaufanego źródła, atakujący może podać repoName zawierające traversal (np. ../escaped-repo) i spowodować utworzenie katalogów oraz zapis pliku głównych metadanych poza zamierzonym katalogiem LocalMetadataDir, w granicach uprawnień procesu. Wersja 2.4.1 zawiera poprawkę.
Ocena ryzyka
Atakujący może zapisywać pliki poza zamierzonym katalogiem pamięci podręcznej, co może prowadzić do nadpisania lub umieszczenia metadanych w nieoczekiwanych lokalizacjach. Może to naruszyć integralność procesu aktualizacji lub wpłynąć na inne pliki w zasięgu uprawnień procesu.
Rekomendacja
Zaktualizuj go-tuf do wersji 2.4.1 lub nowszej. Unikaj przyjmowania plików mapy z niezaufanych źródeł.
Inne podatności w go-tuf
Zobacz wszystkie- CVE-2026-23992Średnie
go-tuf to implementacja The Update Framework (TUF) w języku Go. W wersjach od 2.0.0 do 2.3.1 skompromitowane lub błędnie skonfigurowane repozytorium TUF może mieć ustawioną wartość progu podpisów na 0, co skutecznie wyłącza weryfikację podpisów. Może to prowadzić do nieautoryzowanej modyfikacji plików metadanych TUF zarówno w spoczynku, jak i w tranzycie, ponieważ nie są wykonywane żadne kontrole integralności. Wersja 2.3.1 naprawia ten problem. Jako obejście należy zawsze upewnić się, że role metadanych TUF mają skonfigurowany próg co najmniej 1.
- CVE-2026-23991Średnie
go-tuf to implementacja The Update Framework (TUF) w Go. Od wersji 2.0.0 do 2.3.1, jeśli repozytorium TUF (lub dowolne jego lustro) zwróci nieprawidłowy JSON metadanych TUF (poprawny JSON, ale niepoprawne metadane TUF), klient panikuje podczas parsowania, powodując odmowę usługi. Panika następuje przed walidacją podpisu, więc skompromitowane repozytorium/lustro/pamięć podręczna może wywołać DoS bez dostępu do klucza podpisującego.
Oryginalny opis (angielski, źródło NVD)
go-tuf is a Go implementation of The Update Framework (TUF). go-tuf's TAP 4 Multirepo Client uses the map file repository name string (`repoName`) as a filesystem path component when selecting the local metadata cache directory. Starting in version 2.0.0 and prior to version 2.4.1, if an application accepts a map file from an untrusted source, an attacker can supply a `repoName` containing traversal (e.g., `../escaped-repo`) and cause go-tuf to create directories and write the root metadata file outside the intended `LocalMetadataDir` cache base, within the running process's filesystem permissions. Version 2.4.1 contains a patch.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS