NVD / CVE Program· CNA GitHub_M

CVE-2026-24122: Cosign Certificate Chain Expiry Validation Issue Allows Issuing Certificate Expiry to Be Overlooked

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 14/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,21% (FIRST EPSS).
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Требуются особые условия, например определённое время или конфигурация.
Исправленная версия: sigstore cosign 3.0.5.

Пока низкий приоритет. Обновитесь до sigstore cosign 3.0.5 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

Cosign provides code signing and transparency for containers and binaries. In versions 3.0.4 and below, an issuing certificate with a validity that expires before the leaf certificate will be considered valid during verification even if the provided timestamp would mean the issuing certificate should be considered expired. When verifying artifact signatures using a certificate, Cosign first verifies the certificate chain using the leaf certificate's "not before" timestamp and later checks expiry of the leaf certificate using either a signed timestamp provided by the Rekor transparency log or from a timestamp authority, or using the current time. The root and all issuing certificates are assumed to be valid during the leaf certificate's validity. There is no impact to users of the public Sigstore infrastructure. This may affect private deployments with customized PKIs. This issue has been fixed in version 3.0.5.

НизкаяCVSS 3.7 · v3.1—Эксплойта нет Есть исправление

Опубликовано: 19 февр. 2026 г.
Обновлено: 17 июн. 2026 г.
EPSS: 0,2 % · 12-й процентиль
CWE: CWE-295

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 14 / 40 · 3.7 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,2 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: частичное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · GitHub_M: 3,7; NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
sigstore	cosign	cpe:2.3:a:sigstore:cosign

Проверьте шифрование сайта

Уязвимость связана с проверкой сертификатов или слабой криптографией. Бесплатная проверка SSL оценивает сертификат, включённые версии TLS и слабые шифры.

Проверить SSL

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

sigstore cosignдо 3.0.5

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

sigstore cosign
- < 3.0.5затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:13	cosign	с 0	—
Debian:14	cosign	до 3.0.6-1	3.0.6-1
Go	github.com/sigstore/cosign	с 0	—
Go	github.com/sigstore/cosign	до 3.0.5	3.0.5
Go	github.com/sigstore/cosign/v2	с 0	—
Go	github.com/sigstore/cosign/v3	до 3.0.5	3.0.5
openSUSE:Leap 15.6	cosign	до 3.0.5-150400.3.35.1	3.0.5-150400.3.35.1
openSUSE:Leap 16.0	cosign	до 3.0.5-160000.1.1	3.0.5-160000.1.1
openSUSE:Leap 16.0	trivy	до 0.74.0-160000.2.1	0.74.0-160000.2.1
openSUSE:Tumbleweed	cosign	до 3.0.5-1.1	3.0.5-1.1
openSUSE:Tumbleweed	hauler	до 1.4.2-1.1	1.4.2-1.1
openSUSE:Tumbleweed	trivy	до 0.74.0-2.1	0.74.0-2.1
SUSE:Linux Enterprise Module for Basesystem 15 SP7	cosign	до 3.0.5-150400.3.35.1	3.0.5-150400.3.35.1
SUSE:Linux Enterprise Server 16.0	cosign	до 3.0.5-160000.1.1	3.0.5-160000.1.1

Тот же продукт

sigstore: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2022-35929False positive signature verification in cosign
39Наблюдать
CVE-2024-29903Cosign vulnerable to machine-wide denial of service via malicious artifacts
30Наблюдать
CVE-2024-29902Cosign vulnerable to system-wide denial of service via malicious attachments
23Наблюдать

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2023-467377 нояб. 2023 г. · Possible endless data attack from attacker-controlled registry in cosign
21Наблюдать
← РаньшеCVE-2026-2270310 янв. 2026 г. · Cosign verification accepts any valid Rekor entry under certain conditions
22Наблюдать
Позже →CVE-2026-393957 апр. 2026 г. · Cosign's verify-blob-attestation reports false positive when payload parsing fails
21Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
sigstore cosign	3.0.5 · description	Вендор (CNA)
debian:cosign	3.0.6-1 · Debian:14	Реестр пакетов (OSV)
Go:github.com/sigstore/cosign	3.0.5	Реестр пакетов (OSV)
Go:github.com/sigstore/cosign/v3	3.0.5	Реестр пакетов (OSV)
opensuse:cosign	3.0.5-150400.3.35.1 · openSUSE:Leap 15.6	Реестр пакетов (OSV)
opensuse:hauler	1.4.2-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
opensuse:trivy	0.74.0-2.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
suse:cosign	3.0.5-150400.3.35.1 · SUSE:Linux Enterprise Module for Basesystem 15 SP7	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

Истории пока нет (накапливается ежедневным заданием EPSS).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

sigstore/cosignкоммит 3c9a736

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность: нет
Целостность: низкое · данные или конфигурация могут быть изменены
Доступность: нет

Вектор атаки: Сеть
Сложность атаки: Высокая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Нет
Влияние на целостность: Низкое
Влияние на доступность: Нет

Класс уязвимости (CWE)

CWE-295 · Improper Certificate Validation

Вектор CVSS

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N

nvd-secondary

Первопричина

Ошибка проверки сертификата незаметно подавляется вместо разрыва соединения. Часто это код, добавленный для тестовой среды и попавший в продуктивную.

Ошибка в коде

Весь класс CWE-295

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

kotlin

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {
2  // Оставлено пустым для тестовой среды
3}

Исправленный код

kotlin

1val client = OkHttpClient.Builder()
2  .certificatePinner(
3    CertificatePinner.Builder()
4      .add("api.sirius.example", "sha256/…")
5      .build()
6  ).build()