CVE-2026-54787
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
W bibliotece sigstore-go przed wersją 1.2.1, nie jest sprawdzany znacznik czasu podpisu pakietu względem okna ważności klucza wygasającego (ExpiringKey) opakowującego samodzielnie zarządzany długoterminowy klucz podpisu bez certyfikatu. Pozwala to atakującemu posiadającemu wygasły materiał klucza na podpisywanie akceptowanych pakietów.
Ocena ryzyka
Atakujący może podpisywać pakiety przy użyciu wygasłych kluczy, co może prowadzić do akceptacji nieautoryzowanych lub złośliwych pakietów w łańcuchu dostaw oprogramowania.
Rekomendacja
Zaktualizuj sigstore-go do wersji 1.2.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
sigstore-go is a Go library for Sigstore signing and verification. Prior to 1.2.1, sigstore-go does not check a bundle signing timestamp against the validity window of an ExpiringKey wrapping a self-managed long-lived signing key without a certificate, which can allow an attacker holding expired key material to sign accepted bundles. This issue is fixed in version 1.2.1.