CVE-2026-49835

ŚrednieCVSS 5.9

Opublikowano: 17/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 22/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

Podatność w Sigstore Timestamp Authority przed wersją 2.1.0 pozwala nieuwierzytelnionemu atakującemu na wysyłanie żądań z losowymi ścieżkami lub metodami HTTP, co powoduje tworzenie nieograniczonych wpisów w szeregach czasowych Prometheus i prowadzi do wyczerpania pamięci.

Ocena ryzyka

Atak może doprowadzić do wyczerpania pamięci serwera, co skutkuje odmową usługi (DoS) i uniemożliwia wydawanie znaczników czasu RFC 3161, zakłócając działanie systemów zależnych od Sigstore.

Rekomendacja

Należy niezwłocznie zaktualizować Sigstore Timestamp Authority do wersji 2.1.0 lub nowszej, która zawiera poprawkę ograniczającą rejestrowanie metryk do bezpiecznych wartości.

Inne podatności w Sigstore Timestamp Authority

CVE-2026-39984Średnie
Sigstore Timestamp Authority to usługa do wydawania znaczników czasowych RFC 3161. W wersjach 2.0.5 i niższych występuje podatność na obejście autoryzacji w funkcji VerifyTimestampResponse.

Oryginalny opis (angielski, źródło NVD)

Sigstore Timestamp Authority is a service for issuing RFC 3161 timestamps. Prior to 2.1.0, the global wrapMetrics middleware records raw HTTP request path r.URL.Path and raw HTTP request method r.Method as Prometheus labels for latency and request count metric vectors before routing, allowing an unauthenticated remote attacker to issue requests with random paths such as /api/v1/timestamp/<uuid> or random HTTP methods and create unbounded permanent time-series entries that exhaust memory. This issue is fixed in version 2.1.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS