CVE-2015-9258
Publiée le 2018-03-31 · Dernière modification le 2026-06-17
Les versions de Docker Notary antérieures à la 0.1 sont affectées par une faille dans la manière dont les signatures numériques sont vérifiées. Un attaquant distant et non authentifié peut exploiter cette vulnérabilité en induisant le système en erreur sur l'interprétation de l'algorithme de signature, lui permettant ainsi de forger une signature valide pour du contenu malveillant. Cette attaque est relativement facile à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Docker Notary before 0.1, gotuf/signed/verify.go has a Signature Algorithm Not Matched to Key vulnerability. Because an attacker controls the field specifying the signature algorithm, they might (for example) be able to forge a signature by forcing a misinterpretation of an RSA-PSS key as Ed25519 elliptic-curve data.