PT-2026-45483 · Debian+2 · Kas

Publicado 2026-06-01 · Atualizado 2026-06-02 · CVE-2026-47191

Positive Technologies (AI Summary) · Pt

CVSS v4.0

2.1

Baixa

Vetor base

AV:N/AC:H/AT:P/PR:L/UI:P/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas kas versões anteriores a 5.3

Description Usuários que dependem exclusivamente de um ID de commit do git (SHA-1 ou SHA-256) para verificar se a extração de um repositório corresponde a um estado validado em uma configuração do kas podem ser enganados a extrair um branch com o mesmo nome. Isso ocorre se um invasor assumir o controle do repositório referenciado e modificá-lo para incluir tal branch. Embora os commits SHA-1 sejam suscetíveis a colisões de hash, este problema impacta principalmente os IDs de commit SHA-256.

Recommendations Atualize para a versão 5.3. Evite confiar exclusivamente no ID do commit para a validação de integridade de repositórios que possam ser controlados por terceiros mal-intencionados. Valide commits ou tags assinados criptograficamente, se disponíveis. Espelhe o repositório em um local seguro, valide sua integridade e use o espelho em vez do repositório original.

Correção

Improper Verification of Cryptographic Signature

Enumeração de Fraquezas

CWE-347

Identificadores relacionados

CVE-2026-47191

GHSA-QJWP-HRQ6-R26R

Produtos afetados

Kas

Referências · 9

• https://github.com/siemens/kas/security/advisories/GHSA-qjwp-hrq6-r26r · Nota
• https://github.com/siemens/kas/commit/4cb4a3d01122ffaec9feaae768a5814092f6f9b5 · Nota
• https://github.com/siemens/kas · Nota
• https://ubuntu.com/security/CVE-2026-47191 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2026-47191 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-47191 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2026-47191 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qjwp-hrq6-r26r · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-47191 · Aviso do Fabricante