CVE-2026-44309

ŚrednieCVSS 5.3

Opublikowano: 15/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.12%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Gitsign to narzędzie do bezkluczowego podpisywania commitów Git tożsamością GitHub/OIDC. Przed wersją 0.16.0 polecenia gitsign verify i gitsign verify-tag ponownie kodują obiekty commit/tag przez EncodeWithoutSignature z go-git przed sprawdzeniem podpisu; dla zniekształconych obiektów z duplikatami nagłówków drzewa git-core i go-git parsują różne drzewa, więc podpis utworzony nad znormalizowaną formą go-git przechodzi weryfikację, podczas gdy git-core wskazuje inne drzewo. Podatność naprawiono w wersji 0.16.0.

Ocena ryzyka

Możliwe jest zaakceptowanie podpisu, który w rzeczywistości odnosi się do innej zawartości niż ta prezentowana przez git-core, co podważa zaufanie do weryfikacji podpisów.

Rekomendacja

Zaktualizuj Gitsign do wersji 0.16.0 lub nowszej.

Inne podatności w Gitsign

CVE-2026-44310Średnie
Gitsign to narzędzie do bezkluczowego podpisywania commitów Git tożsamością GitHub/OIDC. W wersjach od 0.4.0 do przed 0.15.0 funkcja CertVerifier.Verify() bezwarunkowo odwołuje się do certs[0] po sd.GetCertificates() bez sprawdzenia długości slice; podpisana wiadomość CMS/PKCS7 z pustym zbiorem certyfikatów powoduje panic index-out-of-range, który w ścieżce gitsign --verify jest po cichu odzyskiwany i zwraca kod wyjścia 0, przez co weryfikacja kończy się fałszywym sukcesem. Podatność naprawiono w wersji 0.15.0.

Oryginalny opis (angielski, źródło NVD)

Gitsign is a keyless Sigstore to signing tool for Git commits with your a GitHub / OIDC identity. Prior to 0.16.0, gitsign verify and gitsign verify-tag re-encode commit/tag objects through go-git's EncodeWithoutSignature before checking the signature, instead of verifying against the raw git object bytes. For malformed objects with duplicate tree headers, git-core and go-git parse different trees: git-core uses the first, go-git uses the second. A signature crafted over the go-git-normalized form (second tree) passes gitsign verify while git-core resolves the commit to a completely different tree. This breaks the invariant that a verified signature, the commit semantics git-core presents to users, and the object hash logged in Rekor all refer to the same content. This vulnerability is fixed in 0.16.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS