🇰🇷 한글 설명
sigstore-js의 @sigstore/verify 패키지는 3.1.1 이전 버전에서 bundle v0.2의 inclusionProof 전용 tlogEntries에 대해 integratedTime으로부터 트랜스패런시 로그 타임스탬프를 도출하는데, inclusion proof 경로는 integratedTime을 암호학적으로 바인딩하지 않습니다. 이로 인해 신뢰할 수 없는 번들을 제공할 수 있는 공격자가 인증서 유효성 및 timestampThreshold 검증 결정에 영향을 줄 수 있습니다. 이 문제는 3.1.1 버전에서 수정되었습니다.
💡 쉬운 설명
Sigstore 서명 검증 라이브러리가 로그 기록 시간을 검증 없이 신뢰하여, 공격자가 조작된 서명 번들로 인증서가 유효한 것처럼 속일 수 있습니다. 3.1.1 이상 버전으로 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
sigstore-js provides JavaScript libraries for interacting with Sigstore services. Prior to 3.1.1, @sigstore/verify derives a transparency-log timestamp from tlogEntries[].integratedTime for bundle v0.2 inclusionProof-only entries even though the inclusion proof path does not cryptographically bind integratedTime, allowing an attacker who can supply an untrusted bundle to influence certificate validity and timestampThreshold verification decisions. This issue is fixed in version 3.1.1.
📍 영향받는 시스템
@sigstore/verify 3.1.1 미만 버전을 사용하는 Node.js 애플리케이션 및 sigstore-js 기반 서명 검증 도구
⚔️ 공격 벡터
공격자가 조작된 tlogEntries의 integratedTime 값을 포함한 악성 sigstore 번들을 검증 대상 시스템에 제공하여 인증서 유효성 판단을 왜곡
🛡️ 대응 방법
@sigstore/verify 패키지를 3.1.1 이상으로 업데이트 (npm update @sigstore/verify 또는 package.json에서 버전 지정)
🔧 검증 코드
출력된 버전이 3.1.1 미만이면 취약하므로 업데이트가 필요하고, 3.1.1 이상이면 패치가 적용된 상태입니다.
npm ls @sigstore/verify 2>/dev/null | grep -E '@sigstore/verify@'