CVE-2026-39984
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Sigstore Timestamp Authority to usługa wydająca znaczniki czasu RFC 3161. Wersje 2.0.5 i niższe zawierają podatność obejścia autoryzacji w funkcji VerifyTimestampResponse. Funkcja poprawnie weryfikuje podpis łańcucha certyfikatów, ale sprawdzenia ograniczeń specyficznych dla TSA w VerifyLeafCert używają pierwszego nie-CA certyfikatu z worka certyfikatów PKCS#7 zamiast certyfikatu liścia z zweryfikowanego łańcucha. Atakujący może to wykorzystać, dodając sfałszowany certyfikat na początku worka certyfikatów, podczas gdy wiadomość jest podpisana autoryzowanym kluczem, powodując walidację podpisu względem jednego certyfikatu, a sprawdzenia autoryzacji względem innego. Podatność dotyczy tylko użytkowników pakietu timestamp-authority/v2/pkg/verification i nie wpływa na samą usługę timestamp-authority ani sigstore-go. Problem naprawiono w wersji 2.0.6.
Ocena ryzyka
Atakujący może obejść autoryzację i uzyskać fałszywe znaczniki czasu, podważając zaufanie do usługi.
Rekomendacja
Zaktualizuj pakiet timestamp-authority/v2/pkg/verification do wersji 2.0.6 lub nowszej.
Inne podatności w Sigstore Timestamp Authority
Zobacz wszystkie- CVE-2026-49835Średnie
Podatność w Sigstore Timestamp Authority przed wersją 2.1.0 pozwala nieuwierzytelnionemu atakującemu na wysyłanie żądań z losowymi ścieżkami lub metodami HTTP, co powoduje tworzenie nieograniczonych wpisów w szeregach czasowych Prometheus i prowadzi do wyczerpania pamięci.
- CVE-2025-66564Wysokie
Sigstore Timestamp Authority to usługa wystawiająca znaczniki czasu RFC 3161. Przed wersją 2.0.3 funkcje api.ParseJSONRequest oraz api.getContentType dzielą niezaufane dane (opcjonalny OID lub nagłówek Content-Type) po znakach kropki lub ciągu znaków, co przy złośliwym żądaniu z bardzo długim OID lub zniekształconym nagłówkiem powoduje alokacje pamięci rzędu O(n) bajtów. Podatność została naprawiona w wersji 2.0.3.
Oryginalny opis (angielski, źródło NVD)
Sigstore Timestamp Authority is a service for issuing RFC 3161 timestamps. Versions 2.0.5 and below contain an authorization bypass vulnerability in the VerifyTimestampResponse function. VerifyTimestampResponse correctly verifies the certificate chain signature, but the TSA-specific constraint checks in VerifyLeafCert uses the first non-CA certificate from the PKCS#7 certificate bag instead of the leaf certificate from the verified chain. An attacker can exploit this by prepending a forged certificate to the certificate bag while the message is signed with an authorized key, causing the library to validate the signature against one certificate but perform authorization checks against another. This vulnerability only affects users of the timestamp-authority/v2/pkg/verification package and does not affect the timestamp-authority service itself or sigstore-go. The issue has been fixed in version 2.0.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS