CVE-2026-23992
ŚrednieCVSS 5.9Streszczenie
go-tuf to implementacja The Update Framework (TUF) w języku Go. W wersjach od 2.0.0 do 2.3.1 skompromitowane lub błędnie skonfigurowane repozytorium TUF może mieć ustawioną wartość progu podpisów na 0, co skutecznie wyłącza weryfikację podpisów. Może to prowadzić do nieautoryzowanej modyfikacji plików metadanych TUF zarówno w spoczynku, jak i w tranzycie, ponieważ nie są wykonywane żadne kontrole integralności. Wersja 2.3.1 naprawia ten problem. Jako obejście należy zawsze upewnić się, że role metadanych TUF mają skonfigurowany próg co najmniej 1.
Ocena ryzyka
Atakujący może zmodyfikować metadane TUF bez wykrycia, co może prowadzić do dostarczenia złośliwych aktualizacji lub naruszenia integralności łańcucha dostaw oprogramowania. Organizacje korzystające z go-tuf są narażone na poważne ryzyko bezpieczeństwa.
Rekomendacja
Zaktualizuj go-tuf do wersji 2.3.1 lub nowszej. Dodatkowo skonfiguruj progi podpisów dla wszystkich ról TUF na co najmniej 1 i regularnie weryfikuj konfigurację repozytorium.
Inne podatności w go-tuf
Zobacz wszystkie- CVE-2026-24686Średnie
go-tuf to implementacja The Update Framework (TUF) w Go. Klient TAP 4 Multirepo w go-tuf używa ciągu nazwy repozytorium z pliku mapy (repoName) jako składnika ścieżki systemu plików przy wyborze lokalnego katalogu pamięci podręcznej metadanych. Od wersji 2.0.0 do 2.4.1, jeśli aplikacja przyjmuje plik mapy z niezaufanego źródła, atakujący może podać repoName zawierające traversal (np. ../escaped-repo) i spowodować utworzenie katalogów oraz zapis pliku głównych metadanych poza zamierzonym katalogiem LocalMetadataDir, w granicach uprawnień procesu. Wersja 2.4.1 zawiera poprawkę.
- CVE-2026-23991Średnie
go-tuf to implementacja The Update Framework (TUF) w Go. Od wersji 2.0.0 do 2.3.1, jeśli repozytorium TUF (lub dowolne jego lustro) zwróci nieprawidłowy JSON metadanych TUF (poprawny JSON, ale niepoprawne metadane TUF), klient panikuje podczas parsowania, powodując odmowę usługi. Panika następuje przed walidacją podpisu, więc skompromitowane repozytorium/lustro/pamięć podręczna może wywołać DoS bez dostępu do klucza podpisującego.
Oryginalny opis (angielski, źródło NVD)
go-tuf is a Go implementation of The Update Framework (TUF). Starting in version 2.0.0 and prior to version 2.3.1, a compromised or misconfigured TUF repository can have the configured value of signature thresholds set to 0, which effectively disables signature verification. This can lead to unauthorized modification to TUF metadata files is possible at rest, or during transit as no integrity checks are made. Version 2.3.1 fixes the issue. As a workaround, always make sure that the TUF metadata roles are configured with a threshold of at least 1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS