Crossplane TOCTOU Vulnerability Bypasses Signature Check via Image Tag (GHSA-mf7q-r4rv-jy94)

脆弱性概要 Crossplane の TOCTOU（Time-of-Check to Time-of-Use）脆弱性は、cosign による検証とイメージの取得の間に存在します。 内では、タグによるパッケージのインストールによって署名チェックを回避することが可能です。 影響範囲 影響を受けるバージョン： - - 修正バージョン： - - 修正方法 1. パッケージのインストール時にタグではなくイメージダイジェストを使用する： - パッケージのインストール時にタグではなくイメージダイジェストを使用することで、本問題を回避できます。 2. コードの更新： - パッケージマネージャーは更新され、タグ参照は1回のみ解決され、その結果得られたダイジェストを使用して署名検証とイメージ取得が行われます。これにより、Crossplane によってプルされる内容と署名検証対象のコンテンツが一致することが保証されます。 - 修正は Crossplane の ブランチに適用され、 および のリリースブランチへバックポートされています。これは および でリリースされます。 追加情報 深刻度：高（8.2 / 10） CVSS v4 ベース指標： - 攻撃ベクトル：ネットワーク - 攻撃複雑度：低 - 攻撃要件：存在 - 特権要件：なし - ユーザーインタラクション：なし 脆弱性システム影響指標： - 機密性：なし - 完全性：高 - 可用性：なし 後続システム影響指標： - 機密性：なし - 完全性：なし - 可用性：なし EPSS スコア： - 弱点： - CVE-345 - CVE-367 CVE ID：既知のものなし GHSA ID：GHSA-mf7q-r4rv-jy94 ソースコード：crossplane/crossplane-runtime クレジット： - リポーター：tonghuaroot, bugbunny-research 参照 GHSA-mf7q-r4rv-jy94 アップデート履歴 2024年8月16日：adamwq が crossplane/crossplane-runtime のアップデートを公開しました。 2024年8月28日：GitHub Security Advisories に公開。 2024年8月28日：審査済み。 2024年8月28日：最終更新。

目標達成すべての支援者に感謝 — 100%達成しました！

Crossplane TOCTOU Vulnerability Bypasses Signature Check via Image Tag (GHSA-mf7q-r4rv-jy94)

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Crossplane TOCTOU Vulnerability Bypasses Signature Check via Image Tag (GHSA-mf7q-r4rv-jy94)

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！