Podatności go-tuf

go-tuf to implementacja The Update Framework (TUF) w Go. Klient TAP 4 Multirepo w go-tuf używa ciągu nazwy repozytorium z pliku mapy (repoName) jako składnika ścieżki systemu plików przy wyborze lokalnego katalogu pamięci podręcznej metadanych. Od wersji 2.0.0 do 2.4.1, jeśli aplikacja przyjmuje plik mapy z niezaufanego źródła, atakujący może podać repoName zawierające traversal (np. ../escaped-repo) i spowodować utworzenie katalogów oraz zapis pliku głównych metadanych poza zamierzonym katalogiem LocalMetadataDir, w granicach uprawnień procesu. Wersja 2.4.1 zawiera poprawkę.

go-tuf to implementacja The Update Framework (TUF) w języku Go. W wersjach od 2.0.0 do 2.3.1 skompromitowane lub błędnie skonfigurowane repozytorium TUF może mieć ustawioną wartość progu podpisów na 0, co skutecznie wyłącza weryfikację podpisów. Może to prowadzić do nieautoryzowanej modyfikacji plików metadanych TUF zarówno w spoczynku, jak i w tranzycie, ponieważ nie są wykonywane żadne kontrole integralności. Wersja 2.3.1 naprawia ten problem. Jako obejście należy zawsze upewnić się, że role metadanych TUF mają skonfigurowany próg co najmniej 1.

go-tuf to implementacja The Update Framework (TUF) w Go. Od wersji 2.0.0 do 2.3.1, jeśli repozytorium TUF (lub dowolne jego lustro) zwróci nieprawidłowy JSON metadanych TUF (poprawny JSON, ale niepoprawne metadane TUF), klient panikuje podczas parsowania, powodując odmowę usługi. Panika następuje przed walidacją podpisu, więc skompromitowane repozytorium/lustro/pamięć podręczna może wywołać DoS bez dostępu do klucza podpisującego.