sigstore CSRF mogelijkheid in OIDC authenticatie tijdens ondertekenen

De impact van deze CSRF-kwetsbaarheid is relatief laag, maar nog steeds significant. Een man-in-the-middle aanvaller kan een sigstore-python gebruiker misleiden om een bestand of code te ondertekenen met een identiteit die de aanvaller controleert. Dit kan leiden tot het compromitteren van de integriteit van de ondertekende artefacten en het potentieel misbruik van de identiteit van de gebruiker. Hoewel de kwetsbaarheid niet direct leidt tot data-exfiltratie of systeemcompromittering, kan het gebruikt worden om de vertrouwensketen te ondermijnen en kwaadaardige software te verspreiden die als legitiem wordt beschouwd.

Developers and organizations using sigstore-python for code signing and verification are at risk. Specifically, those relying on OAuth authentication for sigstore-python and using versions prior to 4.2.0 are vulnerable. Shared hosting environments where multiple users share the same sigstore-python installation could also be affected.

• python / sigstore: Inspect OAuth authentication flows for unexpected requests or parameters.

# Example: Check for unusual state parameters in OAuth requests
import re
pattern = r'state=[a-zA-Z0-9_-]+'
# Analyze network traffic or application logs for this pattern

• python / sigstore: Monitor for unusual code signing activity or unexpected signatures.

# Example: Check for signatures from unknown or suspicious identities
import cryptography
# Analyze code signing certificates and signatures

1. 2026-01-26Disclosure

   disclosure

1. Gereserveerd2026-01-22
2. Gepubliceerd2026-01-26
3. Gewijzigd2026-02-03
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor CVE-2026-24408 is het upgraden van sigstore-python naar versie 4.2.0 of hoger. Deze versie bevat een correctie die de CSRF-kwetsbaarheid adresseert door de 'state' parameter in de server response te valideren. Indien een upgrade momenteel niet mogelijk is, overweeg dan het implementeren van extra beveiligingsmaatregelen, zoals het gebruik van Content Security Policy (CSP) om de bronnen te beperken die de browser mag laden. Het is belangrijk om de applicatie te monitoren op verdachte OAuth authenticatie pogingen. Na de upgrade, verifieer de correcte werking van de OAuth authenticatie flow door handmatig een ondertekeningsactie uit te voeren en te controleren of de ondertekening correct verloopt.