PT-2026-31010 · Google · Cosign

Kodareef5 · Publicado 2026-04-07 · Atualizado 2026-06-11 · CVE-2026-39395

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Name of the Vulnerable Software and Affected Versions Cosign versões anteriores a 3.0.6 e anteriores a 2.6.3

Description Cosign, uma ferramenta para assinatura de código e transparência para contêineres e binários, apresentava uma falha em verify-blob-attestation onde poderia relatar incorretamente uma verificação bem-sucedida (“Verified OK”) para atestações contendo cargas úteis malformadas ou tipos de predicado incompatíveis. Isso ocorreu devido a um erro de lógica na validação do tipo de predicado para formatos de pacote mais antigos e uma ignorância completa da validação do tipo de predicado para formatos de pacote mais recentes.

Recommendations Atualize para a versão 3.0.6 ou posterior. Atualize para a versão 2.6.3 ou posterior.

Correção

Improper Check for Exceptional Conditions

Enumeração de Fraquezas

CWE-754

Identificadores relacionados

BIT-COSIGN-2026-39395

CVE-2026-39395

GHSA-W6C6-C85G-MMV6

OPENSUSE-SU-2026:10753-1

SUSE-SU-2026:2365-1

Produtos afetados

Cosign

Referências · 17

• https://github.com/sigstore/cosign/security/advisories/GHSA-w6c6-c85g-mmv6 · Aviso do Fabricante
• https://github.com/sigstore/cosign · Nota
• https://twitter.com/CVEnew/status/2041711883854757991 · Publicação no Twitter
• https://bugzilla.suse.com/1261859 · Nota
• https://ubuntu.com/security/CVE-2026-39395 · Aviso do Fabricante
• https://reddit.com/r/VulnMatter/comments/1sft88v/resumen_diario_de_vulnerabilidades_08042026 · Publicação no Reddit
• https://osv.dev/vulnerability/GHSA-w6c6-c85g-mmv6 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-39395 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-39395 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2026:10753-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-39395 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2026-39395 · Aviso do Fabricante
• https://suse.com/support/update/announcement/2026/suse-su-20262365-1 · Nota
• https://osv.dev/vulnerability/SUSE-SU-2026:2365-1 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-39395 · Nota de Segurança