PT-2024-19814 · Unknown · The Notary Project

Justincappos · Publicado 2024-01-19 · Atualizado 2024-06-28 · CVE-2024-23332

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.0

Média

Vetor base

AV:N/AC:H/PR:H/UI:R/S:C/C:N/I:L/A:L

Nome do software vulnerável e versões afetadas

The Notary Project (versões afetadas não especificadas)

Descrição

Um agente externo com controle sobre um registro de contêineres comprometido pode fornecer versões desatualizadas de artefatos OCI, como imagens. Isso poderia levar os consumidores de artefatos com políticas de confiança menos restritas (como permissive em vez de strict) a usar potencialmente artefatos com assinaturas que não são mais válidas, tornando-os suscetíveis a quaisquer explorações que esses artefatos possam conter. O Projeto Notary oferece várias opções de validação de assinatura, como permissive, audit e skip, para dar suporte a diversos cenários. Os editores de artefatos podem controlar o período de validade dos artefatos especificando a expiração da assinatura durante o processo de assinatura. O uso de períodos de validade de assinatura mais curtos, juntamente com processos para reassinar artefatos periodicamente, permite que os produtores de artefatos garantam que seus consumidores recebam apenas artefatos atualizados.

Recomendações

Para resolver o problema, os editores de artefatos devem especificar a expiração da assinatura durante o processo de assinatura e usar períodos de validade de assinatura mais curtos, juntamente com processos para assinar novamente os artefatos periodicamente.

Os consumidores de artefatos devem usar uma política de confiança strict ou equivalente que imponha a expiração da assinatura.

Como solução alternativa temporária, considere desativar o uso de políticas de confiança permissive até que uma configuração mais segura seja implementada.

Restrinja o acesso a registros de contêineres comprometidos para minimizar o risco de exploração

Exploit

Correção

Enumeração de Fraquezas

CWE-672

Identificadores relacionados

CVE-2024-23332

GHSA-57WX-M636-G3G8

GO-2024-2472

Produtos afetados

The Notary Project

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23332.json · Exploit
• https://github.com/notaryproject/specifications/commit/cdabdd1042de2999c685fa5d422a785ded9c983a · Correção
• https://github.com/notaryproject/specifications/security/advisories/GHSA-57wx-m636-g3g8 · Aviso do Fabricante
• https://github.com/notaryproject/specifications · Nota
• https://twitter.com/CVEnew/status/1748473110431494656 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-57wx-m636-g3g8 · Aviso do Fabricante
• https://osv.dev/vulnerability/GO-2024-2472 · Aviso do Fabricante
• https://t.me/cvenotify/68098 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-23332 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-23332 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1748520950969032909 · Publicação no Twitter
• https://t.me/cvenotify/69070 · Publicação no Telegram
• https://t.me/cvenotify/72718 · Publicação no Telegram