Към съдържанието
Търсене

CVE-2026-23992: theupdateframework go-tuf, слаба криптография

5.9

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

go-tuf is a Go implementation of The Update Framework (TUF). Starting in version 2.0.0 and prior to version 2.3.1, a compromised or misconfigured TUF repository can have the configured value of signature thresholds set to 0, which effectively disables signature verification. This can lead to unauthorized modification to TUF metadata files is possible at rest, or during transit as no integrity checks are made. Version 2.3.1 fixes the issue. As a workaround, always make sure that the TUF metadata roles are configured with a threshold of at least 1.

Засегнати продукти

  • theupdateframework go-tuf: >= 2.0.0, < 2.3.1

Вид слабост

История

  • 22 януари 2026 Публикувано

Други уязвимости в theupdateframework go-tuf

Първоизточници

CVE-2026-23992: theupdateframework go-tuf, слаба криптография | freedomonline.bg