Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-48816 medium CVSS 6.5

Vulnérabilité dans @sigstore/verify (CVE-2026-48816)

Résumé

Vulnérabilité dans @sigstore/verify (CVE-2026-48816). Les données peuvent être altérées par des attaquants. Exploitable via timestampThreshold. Atténuation : mise à jour vers 3.1.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

sigstore-js derives a transparency-log timestamp from tlogEntries[].integratedTime and uses it to validate certificate validity windows and satisfy timestampThreshold. For bundle v0.2, a tlog entry can be inclusionProof-only (no signed inclusionPromise/set), and the inclusion proof path does not cryptographically bind integratedTime. As a result, an attacker who can supply an untrusted bundle can influence time-based verification decisions by choosing integratedTime.

impact

If a consumer accepts attacker-provided bundle v0.2 inputs and relies on tlog-derived timestamps for certificate validity checks, verification can be influenced by an unauthenticated timestamp value. This is a trust gap: integratedTime is treated as a trusted observer timestamp under inclusionProof-only mode even though only the signed inclusionPromise/set path binds it.

affected code

  • packages/verify/src/bundle/index.ts (adds a transparency-log timestamp whenever integratedTime != 0)
  • packages/verify/src/timestamp/index.ts (converts integratedTime to a Date)
  • packages/verify/src/verifier.ts (verifies timestamps before verifying tlog inclusion)
  • packages/verify/src/tlog/index.ts + packages/verify/src/tlog/set.ts (only the inclusionPromise/set path binds integratedTime)

proof of concept

The attached poc.zip contains a self-contained harness that reproduces the behavior on the pinned commit and includes both a canonical test and a negative control.

repro:

  1. ext…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-48816 a été découverte dans @sigstore/verify.
Des attaquants peuvent cibler un point d'entrée spécifique comme timestampThreshold à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 6.5/10.
Action : mettez à jour @sigstore/verify vers 3.1.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « @sigstore/verify CVE-2026-48816 » sur le site de l'éditeur.

CVE-2026-48816 (@sigstore/verify) — CWE-345 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : timestampThreshold / integratedTime / Date / poc.zip
Correctif : 3.1.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-345) affecte @sigstore/verify. Les attaquants atteignent le code vulnérable via timestampThreshold.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de @sigstore/verify. Surface d'attaque : timestampThreshold / integratedTime / Date / poc.zip.

🔥 Gravité

Gravité : Moyenne (CVSS 6.5/10). Les données peuvent être altérées par des attaquants.

🔧 Comment corriger

Mettre à jour vers 3.1.1.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r '@sigstore/verify' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で @sigstore/verify を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade @sigstore/verify to 3.1.1

    ステージング環境で 3.1.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

npm @sigstore/verify
[{"type":"SEMVER","events":[{"introduced":"3.1.0"},{"fixed":"3.1.1"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus