CVE-2026-49835
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 54 - wyżej niż 54% wszystkich znanych CVE
Streszczenie
Podatność w Sigstore Timestamp Authority przed wersją 2.1.0 pozwala nieuwierzytelnionemu atakującemu na wysyłanie żądań z losowymi ścieżkami lub metodami HTTP, co powoduje tworzenie nieograniczonych wpisów w szeregach czasowych Prometheus i prowadzi do wyczerpania pamięci.
Ocena ryzyka
Atak może doprowadzić do wyczerpania pamięci serwera, co skutkuje odmową usługi (DoS) i uniemożliwia wydawanie znaczników czasu RFC 3161, zakłócając działanie systemów zależnych od Sigstore.
Rekomendacja
Należy niezwłocznie zaktualizować Sigstore Timestamp Authority do wersji 2.1.0 lub nowszej, która zawiera poprawkę ograniczającą rejestrowanie metryk do bezpiecznych wartości.
Inne podatności w Sigstore Timestamp Authority
Zobacz wszystkie- CVE-2026-39984Średnie
Sigstore Timestamp Authority to usługa wydająca znaczniki czasu RFC 3161. Wersje 2.0.5 i niższe zawierają podatność obejścia autoryzacji w funkcji VerifyTimestampResponse. Funkcja poprawnie weryfikuje podpis łańcucha certyfikatów, ale sprawdzenia ograniczeń specyficznych dla TSA w VerifyLeafCert używają pierwszego nie-CA certyfikatu z worka certyfikatów PKCS#7 zamiast certyfikatu liścia z zweryfikowanego łańcucha. Atakujący może to wykorzystać, dodając sfałszowany certyfikat na początku worka certyfikatów, podczas gdy wiadomość jest podpisana autoryzowanym kluczem, powodując walidację podpisu względem jednego certyfikatu, a sprawdzenia autoryzacji względem innego. Podatność dotyczy tylko użytkowników pakietu timestamp-authority/v2/pkg/verification i nie wpływa na samą usługę timestamp-authority ani sigstore-go. Problem naprawiono w wersji 2.0.6.
- CVE-2025-66564Wysokie
Sigstore Timestamp Authority to usługa wystawiająca znaczniki czasu RFC 3161. Przed wersją 2.0.3 funkcje api.ParseJSONRequest oraz api.getContentType dzielą niezaufane dane (opcjonalny OID lub nagłówek Content-Type) po znakach kropki lub ciągu znaków, co przy złośliwym żądaniu z bardzo długim OID lub zniekształconym nagłówkiem powoduje alokacje pamięci rzędu O(n) bajtów. Podatność została naprawiona w wersji 2.0.3.
Oryginalny opis (angielski, źródło NVD)
Sigstore Timestamp Authority is a service for issuing RFC 3161 timestamps. Prior to 2.1.0, the global wrapMetrics middleware records raw HTTP request path r.URL.Path and raw HTTP request method r.Method as Prometheus labels for latency and request count metric vectors before routing, allowing an unauthenticated remote attacker to issue requests with random paths such as /api/v1/timestamp/<uuid> or random HTTP methods and create unbounded permanent time-series entries that exhaust memory. This issue is fixed in version 2.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS