CVE-2025-66564
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Sigstore Timestamp Authority to usługa wystawiająca znaczniki czasu RFC 3161. Przed wersją 2.0.3 funkcje api.ParseJSONRequest oraz api.getContentType dzielą niezaufane dane (opcjonalny OID lub nagłówek Content-Type) po znakach kropki lub ciągu znaków, co przy złośliwym żądaniu z bardzo długim OID lub zniekształconym nagłówkiem powoduje alokacje pamięci rzędu O(n) bajtów. Podatność została naprawiona w wersji 2.0.3.
Ocena ryzyka
Atakujący może wysłać specjalnie spreparowane żądanie, powodując nadmierne zużycie pamięci i potencjalną odmowę usługi (DoS) w usłudze Timestamp Authority. Może to zakłócić wystawianie znaczników czasu dla podpisów i procesów podpisywania kodu.
Rekomendacja
Zaktualizuj Sigstore Timestamp Authority do wersji 2.0.3 lub nowszej.
Inne podatności w Sigstore Timestamp Authority
Zobacz wszystkie- CVE-2026-49835Średnie
Podatność w Sigstore Timestamp Authority przed wersją 2.1.0 pozwala nieuwierzytelnionemu atakującemu na wysyłanie żądań z losowymi ścieżkami lub metodami HTTP, co powoduje tworzenie nieograniczonych wpisów w szeregach czasowych Prometheus i prowadzi do wyczerpania pamięci.
- CVE-2026-39984Średnie
Sigstore Timestamp Authority to usługa wydająca znaczniki czasu RFC 3161. Wersje 2.0.5 i niższe zawierają podatność obejścia autoryzacji w funkcji VerifyTimestampResponse. Funkcja poprawnie weryfikuje podpis łańcucha certyfikatów, ale sprawdzenia ograniczeń specyficznych dla TSA w VerifyLeafCert używają pierwszego nie-CA certyfikatu z worka certyfikatów PKCS#7 zamiast certyfikatu liścia z zweryfikowanego łańcucha. Atakujący może to wykorzystać, dodając sfałszowany certyfikat na początku worka certyfikatów, podczas gdy wiadomość jest podpisana autoryzowanym kluczem, powodując walidację podpisu względem jednego certyfikatu, a sprawdzenia autoryzacji względem innego. Podatność dotyczy tylko użytkowników pakietu timestamp-authority/v2/pkg/verification i nie wpływa na samą usługę timestamp-authority ani sigstore-go. Problem naprawiono w wersji 2.0.6.
Oryginalny opis (angielski, źródło NVD)
Sigstore Timestamp Authority is a service for issuing RFC 3161 timestamps. Prior to 2.0.3, Function api.ParseJSONRequest currently splits (via a call to strings.Split) an optionally-provided OID (which is untrusted data) on periods. Similarly, function api.getContentType splits the Content-Type header (which is also untrusted data) on an application string. As a result, in the face of a malicious request with either an excessively long OID in the payload containing many period characters or a malformed Content-Type header, a call to api.ParseJSONRequest or api.getContentType incurs allocations of O(n) bytes (where n stands for the length of the function's argument). This vulnerability is fixed in 2.0.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS