Posibilidad de CSRF en sigstore en la autenticación OIDC durante la firma

La vulnerabilidad CSRF en sigstore-python permite a un atacante interceptar y modificar las solicitudes de autenticación OAuth. Un atacante podría, por ejemplo, crear una página web maliciosa que, al ser visitada por un usuario autenticado en sigstore-python, enviaría una solicitud de firma a un servidor controlado por el atacante. Esto permitiría al atacante firmar código o artefactos como si fueran del usuario legítimo, comprometiendo la integridad de la firma. El impacto se considera bajo, ya que requiere un ataque de intermediario y la manipulación del usuario para que interactúe con la página maliciosa.

Developers and organizations using sigstore-python for code signing and verification are at risk. Specifically, those relying on OAuth authentication for sigstore-python and using versions prior to 4.2.0 are vulnerable. Shared hosting environments where multiple users share the same sigstore-python installation could also be affected.

• python / sigstore: Inspect OAuth authentication flows for unexpected requests or parameters.

# Example: Check for unusual state parameters in OAuth requests
import re
pattern = r'state=[a-zA-Z0-9_-]+'
# Analyze network traffic or application logs for this pattern

• python / sigstore: Monitor for unusual code signing activity or unexpected signatures.

# Example: Check for signatures from unknown or suspicious identities
import cryptography
# Analyze code signing certificates and signatures

1. 2026-01-26Disclosure

   disclosure

1. Reservado2026-01-22
2. Publicada2026-01-26
3. Modificada2026-02-03
4. EPSS actualizado2026-03-23

La solución principal es actualizar sigstore-python a la versión 4.2.0 o superior, donde se ha corregido la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación estricta del parámetro 'state' en el servidor OAuth. Además, se aconseja educar a los usuarios sobre los riesgos de los ataques CSRF y la importancia de no interactuar con sitios web sospechosos. Después de la actualización, confirme la corrección revisando los logs de autenticación y verificando que el parámetro 'state' se valida correctamente.