Cosign's verify-blob-attestation गलत सकारात्मक रिपोर्ट करता है जब पेलोड पार्सिंग विफल हो जाती है

CVE-2026-39395 cosign verify-blob-attestation में, गलत स्वरूपित पेलोड या बेमेल प्रेडिकेट प्रकार वाले प्रमाणों के लिए "Verified OK" परिणाम की गलत रिपोर्टिंग हो सकती है। पुराने प्रारूप के बंडलों और अलग किए गए हस्ताक्षरों के लिए, यह प्रेडिकेट प्रकार सत्यापन त्रुटि हैंडलिंग में एक तार्किक दोष के कारण था। नए प्रारूप के बंडलों के लिए, प्रेडिकेट प्रकार सत्यापन को पूरी तरह से बाईपास कर दिया गया था। यह एक हमलावर को एक दुर्भावनापूर्ण प्रमाण बनाने की अनुमति दे सकता है जो सत्यापन को पास करता है, जिससे सत्यापित blob की अखंडता में विश्वास कमजोर हो जाता है। प्रभाव की गंभीरता सत्यापन प्रक्रिया पर रखे गए विश्वास के स्तर पर निर्भर करती है।

1. आरक्षित2026-04-06
2. प्रकाशित2026-04-07
3. संशोधित2026-04-09
4. EPSS अद्यतन2026-04-15

मुख्य शमन उपाय cosign को संस्करण 3.0.6 या उच्चतर में अपग्रेड करना है। यह संस्करण पुराने और नए प्रारूप के बंडलों दोनों के लिए उचित प्रेडिकेट प्रकार सत्यापन को लागू करके भेद्यता को ठीक करता है। cosign verify-blob-attestation चलाते समय --check-claims=true विकल्प का उपयोग करने की भी दृढ़ता से अनुशंसा की जाती है। यह प्रमाण के भीतर दावों का अधिक गहन सत्यापन लागू करता है, जिससे दुर्भावनापूर्ण प्रमाणों को स्वीकार करने का जोखिम काफी कम हो जाता है। cosign लॉग की निगरानी करके असामान्य व्यवहार का पता लगाना भी संभावित हमलों की पहचान करने में मदद कर सकता है।