🇰🇷 한글 설명
Docker Notary 0.1 미만 버전의 gotuf/signed/verify.go에서 서명 알고리즘이 키와 일치하지 않는 취약점이 발견되었습니다. 공격자가 서명 알고리즘 필드를 제어할 수 있다면, RSA-PSS 키를 Ed25519 타원 곡선 데이터로 오인하게 만들어 서명을 위조할 수 있습니다.
💡 쉬운 설명
서명 방식이 잘못 지정되면 시스템이 가짜 서명을 진짜로 착각할 수 있는 보안 결함입니다. 이를 통해 공격자는 정상적인 파일인 것처럼 속여 악성 코드를 설치할 수 있습니다.
🇺🇸 원문 (English)
In Docker Notary before 0.1, gotuf/signed/verify.go has a Signature Algorithm Not Matched to Key vulnerability. Because an attacker controls the field specifying the signature algorithm, they might (for example) be able to forge a signature by forcing a misinterpretation of an RSA-PSS key as Ed25519 elliptic-curve data.
📍 영향받는 시스템
Docker Notary version < 0.1
⚔️ 공격 벡터
서명 알고리즘 필드를 조작하여 키 해석 방식을 왜곡하는 방식
🛡️ 대응 방법
Docker Notary를 0.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.1 미만인지 확인하십시오.
docker run --rm notary/notary:latest notary --version 2>/dev/null || echo 'Notary not installed'