Podatności sigstore-js

W bibliotece sigstore-js przed wersją 0.7.1 funkcja getRegistryCredentials() odczytuje dane uwierzytelniające z pliku konfiguracyjnego Dockera i wybiera wpis na podstawie tego, czy skonfigurowany klucz auth zawiera docelowy ciąg rejestru. Ponieważ jest to dopasowanie podciągu, a nie dokładne dopasowanie hosta, dane uwierzytelniające skonfigurowane dla jednego rejestru mogą zostać wybrane i przesłane do innego rejestru, którego nazwa hosta ma relację podciągu ze skonfigurowanym kluczem auth.

Podatność w bibliotece sigstore-js (wersje przed 3.1.1) pozwala atakującemu na manipulację znacznikiem czasu z dziennika przejrzystości (transparency log) dla wpisów typu inclusionProof-only w pakietach v0.2. Ponieważ ścieżka dowodu włączenia nie kryptograficznie wiąże znacznika czasu, atakujący może wpływać na decyzje dotyczące ważności certyfikatu i weryfikacji progów czasowych.

W bibliotece sigstore-js przed wersją 4.1.1 opcja certificateOIDs w funkcji sigstore.verify() jest akceptowana przez publiczne API, ale odrzucana przed weryfikacją. Oznacza to, że wymagane rozszerzenia certyfikatów nigdy nie są sprawdzane, a aplikacje polegające na certificateOIDs w celu ograniczenia, które certyfikaty mogą podpisywać artefakty, mogą akceptować nieautoryzowane certyfikaty.

Podatność w bibliotece sigstore-js (wersje przed 3.2.1) pozwala na modyfikację typu ładunku po podpisaniu bez unieważnienia podpisu, co narusza gwarancję wiązania typu w DSSE. Funkcja preAuthEncoding używa kodowania ASCII Node.js, co umożliwia manipulację polem payloadType.