注目★★★★★GitHub Advisory
Crossplane、署名確認後に未署名イメージを取得する欠陥
30秒で把握
- 1Crossplane のタグ解決で署名済み検証後に未署名イメージを取得可能
- 2CVSS v4 8.2、署名検証有効かつ管理外レジストリ利用が対象
- 3digest 指定が回避策、v2.3.3 と v2.2.3 で修正予定
要約
Crossplane の xpkg.CachedClient に、cosign の署名検証とイメージ取得の間でタグ解決結果が変わる TOCTOU 脆弱性がある。悪意ある OCI レジストリは、検証時に署名済みイメージを返し、インストール時に未署名イメージを返せる。対象は、署名検証を有効にし、digest ではなくタグで、管理外のレジストリからパッケージをインストールする構成に限られる。CVSS v4 は 8.2。対策はイメージ digest の使用で、修正版はタグを一度だけ解決し、検証と取得に同じ digest を使う。v2.3.3 と v2.2.3 でリリース予定。
あなたへの影響
Crossplane で対象条件に該当するチームは、タグ指定を digest 指定へ切り替え、v2.3.3 または v2.2.3 への更新を近日中に実施してください。
推奨：TOCTOU は確認と使用の間に対象状態が変わる問題です。