PT-2022-23036 · Unknown · Policycontroller

Mattmoor · Publicado 2022-08-04 · Atualizado 2024-08-21 · CVE-2022-35930

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do PolicyController anteriores à 0.2.1

Descrição

O problema ocorre quando há pelo menos um atestado com uma assinatura válida e nenhum atestado do tipo que está sendo verificado, com --type definido por padrão como “custom”. Isso resulta em um falso positivo, levando à admissão de um atestado quando ele não deveria ser admitido. Uma imagem de exemplo para testar isso é ghcr.io/distroless/static@sha256:dd7614b5a12bc4d617b223c588b4e0c833402b8f4991fb5702ea83afad1986e2.

Recomendações

Para resolver este problema, os usuários devem atualizar para a versão 0.2.1 ou superior. Não há soluções alternativas para usuários que não possam atualizar.

Exploit

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2022-35930

GHSA-739F-HW6H-7WQ8

GO-2022-0759

Produtos afetados

Policycontroller

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/35xxx/CVE-2022-35930.json · Exploit
• https://github.com/sigstore/policy-controller/releases/tag/v0.2.1 · Nota
• https://github.com/sigstore/policy-controller/commit/e852af36fb7d42678b21d7e97503c25bd1fd05c8 · Correção
• https://github.com/sigstore/policy-controller/security/advisories/GHSA-739f-hw6h-7wq8 · Nota
• https://github.com/sigstore/policy-controller · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-35930 · Nota de Segurança
• https://t.me/cvenotify/34602 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-35930 · Aviso do Fabricante
• https://t.me/cvenotify/34280 · Publicação no Telegram
• https://osv.dev/vulnerability/GO-2022-0759 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-739f-hw6h-7wq8 · Aviso do Fabricante