CVE-2026-49834

ŚrednieCVSS 5.9

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

W bibliotece sigstore-go (wersje przed 1.2.0) występuje luka w konfiguracji weryfikacji z wieloma dziennikami przezroczystości (Transparency Log) lub certyfikatami znaczników czasu (Signed Certificate Timestamps). Gdy skonfigurowano próg N>1, weryfikator zlicza świadków na wpis lub ścieżkę walidacji, a nie na autorytet dziennika, co pozwala pojedynczemu skompromitowanemu dziennikowi na spełnienie wymogów wielodziennikowych.

Ocena ryzyka

Ominięcie polityki wielu dzienników może pozwolić atakującemu na sfałszowanie podpisu lub certyfikatu, co podważa zaufanie do łańcucha dostaw oprogramowania.

Rekomendacja

Należy zaktualizować sigstore-go do wersji 1.2.0 lub nowszej, która zawiera poprawkę.

Inne podatności w sigstore-go

CVE-2026-54787Niskie
W bibliotece sigstore-go przed wersją 1.2.1, nie jest sprawdzany znacznik czasu podpisu pakietu względem okna ważności klucza wygasającego (ExpiringKey) opakowującego samodzielnie zarządzany długoterminowy klucz podpisu bez certyfikatu. Pozwala to atakującemu posiadającemu wygasły materiał klucza na podpisywanie akceptowanych pakietów.

Oryginalny opis (angielski, źródło NVD)

sigstore-go is a Go library for Sigstore signing and verification. Prior to 1.2.0, a verifier configured with WithTransparencyLog(N>1) or WithSignedCertificateTimestamps(N>1) counts verified witnesses per entry or per validation path rather than per log authority, allowing a single compromised transparency log or CT log to satisfy multi-log threshold requirements and defeat the multi-log policy. This issue is fixed in version 1.2.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS