Sigstore Timestamp Authority — это сервис по выдаче временных меток RFC 3161. До версии 2.1.0 глобальное промежуточное программное обеспечение WrapMetrics записывало необработанный путь HTTP-запроса r.URL.Path и необработанный метод HTTP-запроса r.Method как метки Prometheus для векторов метрик задержки и количества запросов перед маршрутизацией, что позволяло неаутентифицированному удаленному злоумышленнику выдавать запросы со случайными путями, такими как /api/v1/timestamp/<uuid> или случайные методы HTTP, и создавать неограниченные постоянные записи временных рядов, которые истощают память. Эта проблема исправлена в версии 2.1.0.
Показать оригинальное описание (EN)
Sigstore Timestamp Authority is a service for issuing RFC 3161 timestamps. Prior to 2.1.0, the global wrapMetrics middleware records raw HTTP request path r.URL.Path and raw HTTP request method r.Method as Prometheus labels for latency and request count metric vectors before routing, allowing an unauthenticated remote attacker to issue requests with random paths such as /api/v1/timestamp/<uuid> or random HTTP methods and create unbounded permanent time-series entries that exhaust memory. This issue is fixed in version 2.1.0.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Linuxfoundation Sigstore_Timestamp_Authority
cpe:2.3:a:linuxfoundation:sigstore_timestamp_authority:*:*:*:*:*:*:*:*
|
— |
2.1.0
|