Podatności Sigstore Timestamp Authority

Podatność w Sigstore Timestamp Authority przed wersją 2.1.0 pozwala nieuwierzytelnionemu atakującemu na wysyłanie żądań z losowymi ścieżkami lub metodami HTTP, co powoduje tworzenie nieograniczonych wpisów w szeregach czasowych Prometheus i prowadzi do wyczerpania pamięci.

Sigstore Timestamp Authority to usługa wydająca znaczniki czasu RFC 3161. Wersje 2.0.5 i niższe zawierają podatność obejścia autoryzacji w funkcji VerifyTimestampResponse. Funkcja poprawnie weryfikuje podpis łańcucha certyfikatów, ale sprawdzenia ograniczeń specyficznych dla TSA w VerifyLeafCert używają pierwszego nie-CA certyfikatu z worka certyfikatów PKCS#7 zamiast certyfikatu liścia z zweryfikowanego łańcucha. Atakujący może to wykorzystać, dodając sfałszowany certyfikat na początku worka certyfikatów, podczas gdy wiadomość jest podpisana autoryzowanym kluczem, powodując walidację podpisu względem jednego certyfikatu, a sprawdzenia autoryzacji względem innego. Podatność dotyczy tylko użytkowników pakietu timestamp-authority/v2/pkg/verification i nie wpływa na samą usługę timestamp-authority ani sigstore-go. Problem naprawiono w wersji 2.0.6.

Sigstore Timestamp Authority to usługa wystawiająca znaczniki czasu RFC 3161. Przed wersją 2.0.3 funkcje api.ParseJSONRequest oraz api.getContentType dzielą niezaufane dane (opcjonalny OID lub nagłówek Content-Type) po znakach kropki lub ciągu znaków, co przy złośliwym żądaniu z bardzo długim OID lub zniekształconym nagłówkiem powoduje alokacje pamięci rzędu O(n) bajtów. Podatność została naprawiona w wersji 2.0.3.