sigstore-go fails to check signature timestamps against a signing key's validity period — GHSA-WQQC-JJCQ-VFXM
GitHub · GitHub · GHSA-WQQC-JJCQ-VFXM
ID
GHSA-WQQC-JJCQ-VFXM
GHSA-WQQC-JJCQ-VFXM
Datum
Quelle
GitHub
GitHub
Vendor
GitHub
GitHub
Risiko
niedrig
niedrig
Zusammenfassung
sigstore-go fails to check signature timestamps against a signing key's validity period for self-managed long-lived keys without certificates. ## Impact To verify a bundle with a self-managed long-lived key, the key needs to be wrapped in an `ExpiringKey` type that implies expiration semantics: ```go signatureVerifier, _ := signature.LoadDefaultVerifier(publicKey) expiredKey :=…
Zeitlicher Verlauf
- Von der Quelle veröffentlicht
- 2026-07-31
Risikokontext
- Gemeldeter Schweregrad oder Risikowert: niedrig.
- Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: github.com/sigstore/sigstore-go.
Produkt
go: github.com/sigstore/sigstore-go
Was tun?
Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):
- Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
- Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
- Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
- Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.
Offizielles Advisory
Nachweise und Herkunft
- Kanonische Advisory-ID
- GHSA-WQQC-JJCQ-VFXM
- Quelle
- GitHub
- Vendor
- GitHub
- Von der Quelle veröffentlicht
- 2026-07-31
- Letzte Quellenaktivität
- 2026-07-31
- Weitere Kennungen
- CVE-2026-54787
- Kuratiert von
- hlukh.ch
Verwandte Hinweise und Zusammenhänge
Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.