PT-2024-23124 · Cosign+1 · Cosign+1
Adamkorcz
+1
·
Publicado
2024-04-10
·
Atualizado
2025-01-09
·
CVE-2024-29903
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do Cosign anteriores à 2.2.4
Descrição
O Cosign fornece assinatura de código e transparência para contêineres e binários. Artefatos de software criados com intenção maliciosa podem causar negação de serviço na máquina que executa o Cosign, afetando assim todos os serviços na máquina. A causa principal é que o Cosign cria fatias com base no número de assinaturas, manifestos ou atestados em artefatos não confiáveis. Assim, o artefato não confiável pode controlar a quantidade de memória que o Cosign aloca. O problema específico é que o Cosign aloca memória excessiva nas linhas que criam uma fatia com o mesmo comprimento dos manifestos.
Recomendações
Atualize para a versão 2.2.4 ou posterior, na qual o número de atestados, assinaturas e manifestos foi limitado a um valor razoável. Como solução alternativa temporária, considere restringir o uso de artefatos não confiáveis para minimizar o risco de exploração.
Exploit
Correção
DoS
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Cosign
Suse