注目★★★★★GitHub Advisory
Crossplane: 署名検証のTOCTOU脆弱性、未署名パッケージのインストールが可能
30秒で把握
- 1CrossplaneでTOCTOU脆弱性を確認・未署名パッケージのインストールが可能に
- 2修正はv2.3.3・v2.2.3でリリース予定、mainブランチはバックポート済み
- 3タグ参照からダイジェスト参照への切り替えで即時回避が可能
要約
CrossplaneのパッケージマネージャーにTOCTOU（Time-of-check Time-of-use）脆弱性が確認された。タグ参照でパッケージをインストールする際、署名検証と実際のイメージ取得でタグ解決を別々に行うため、悪意あるOCIレジストリが検証時は署名済みイメージを、インストール時は未署名イメージを提供できる。影響を受けるのは、署名検証を有効化しつつタグ参照を使用し、かつ管理外レジストリからパッケージをインストールするユーザーに限られる。
あなたへの影響
Crossplaneでパッケージ署名検証を有効化している環境では、タグ参照をダイジェスト参照（`@sha256:...`形式）に切り替えることで即時回避できる。
推奨：v2.3.3またはv2.2.3へのアップグレードが根本対策となるため、該当バージョンのリリース後は速やかに更新を適用したい。