CVE-2026-39395
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Cosign, narzędzie do podpisywania kontenerów i plików binarnych, błędnie raportuje „Verified OK” dla atestacji z nieprawidłowymi ładunkami lub niezgodnymi typami predykatów. Błąd występuje w wersjach przed 3.0.6 i 2.6.3.
Ocena ryzyka
Atakujący może dostarczyć sfałszowaną atestację, która zostanie uznana za prawidłową, co może prowadzić do uruchomienia nieautoryzowanego oprogramowania.
Rekomendacja
Zaktualizuj Cosign do wersji 3.0.6 lub 2.6.3.
Oryginalny opis (angielski, źródło NVD)
Cosign provides code signing and transparency for containers and binaries. Prior to 3.0.6 and 2.6.3, cosign verify-blob-attestation may erroneously report a "Verified OK" result for attestations with malformed payloads or mismatched predicate types. For old-format bundles and detached signatures, this was due to a logic flaw in the error handling of the predicate type validation. For new-format bundles, the predicate type validation was bypassed completely. This vulnerability is fixed in 3.0.6 and 2.6.3.