CVE-2015-9259
Publiée le 2018-03-31 · Dernière modification le 2026-06-17
Les versions de Docker Notary antérieures à 0.1 ne vérifient pas la date d'expiration des fichiers de métadonnées racines, ce qui permet à un attaquant d'utiliser un ancien fichier racine compromis pour signer des mises à jour malveillantes. Un attaquant distant peut exploiter cette faille sans authentification ni interaction de l'utilisateur pour compromettre l'intégrité et la confidentialité de vos contenus distribués. Comme l'attaque ne nécessite qu'un accès réseau et est techniquement simple à exécuter, elle présente un risque élevé pour les systèmes s'appuyant sur Notary pour la confiance du contenu.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Docker Notary before 0.1, the checkRoot function in gotuf/client/client.go does not check expiry of root.json files, despite a comment stating that it does. Even if a user creates a new root.json file after a key compromise, an attacker can produce update files referring to an old root.json file.