CVE-2026-6966
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Nieprawidłowa weryfikacja unikalności podpisu kryptograficznego w walidacji delegowanych ról w awslabs/tough przed wersją tough-v0.22.0 pozwala zdalnym uwierzytelnionym użytkownikom obejść wymóg progu podpisów TUF poprzez duplikowanie ważnego podpisu, co powoduje akceptację sfałszowanych metadanych delegowanej roli przez klienta.
Ocena ryzyka
Atakujący może obejść mechanizm progowy podpisów TUF i dostarczyć sfałszowane metadane, co podważa integralność systemu aktualizacji. Może to prowadzić do instalacji złośliwych aktualizacji.
Rekomendacja
Zaktualizuj bibliotekę tough do wersji tough-v0.22.0 lub nowszej oraz tuftool do wersji tuftool-v0.15.0 lub nowszej.
Inne podatności w awslabs/tough
Zobacz wszystkie- CVE-2026-6968Średnie
Niekompletne poprawki podatności path traversal w bibliotece awslabs/tough przed wersją tough-v0.22.0 pozwalają uwierzytelnionym użytkownikom z delegowanym uprawnieniem do podpisywania zapisywać pliki poza zamierzonymi katalogami wyjściowymi. Możliwe jest to poprzez bezwzględne nazwy docelowe w copy_target/link_target, katalogi nadrzędne będące dowiązaniami symbolicznymi w save_target lub nazwy plików metadanych będące dowiązaniami symbolicznymi w SignedRole::write, ponieważ ścieżki zapisu ufają połączonej ścieżce docelowej bez weryfikacji zawierania po rozwiązaniu.
- CVE-2026-6967Średnie
Brak egzekwowania wygaśnięcia, skrótu i długości w walidacji delegowanych metadanych w awslabs/tough przed wersją tough-v0.22.0 pozwala zdalnym uwierzytelnionym użytkownikom z delegowanym uprawnieniem do podpisywania obejść kontrole integralności specyfikacji TUF dla metadanych delegowanych celów i zatruć lokalną pamięć podręczną metadanych, ponieważ load_delegations nie stosuje tych samych kontroli walidacji co ścieżka metadanych celów najwyższego poziomu.
Oryginalny opis (angielski, źródło NVD)
Improper verification of cryptographic signature uniqueness in delegated role validation in awslabs/tough before tough-v0.22.0 allows remote authenticated users to bypass the TUF signature threshold requirement by duplicating a valid signature, causing the client to accept forged delegated role metadata. We recommend you upgrade to tough-v0.22.0 / tuftool-v0.15.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS