Gitsign - это бесключевой инструмент Sigstore для подписи для Git commits с вашей идентификацией GitHub / OIDC. До 0.16.0, gitsign check an…

Gitsign - это бесключевой инструмент Sigstore для подписи для Git commits с вашей идентификацией GitHub / OIDC. До 0.16.0, gitsign check and gitsign check-tag повторно кодировать объекты для совершения / тега через го-гитов EncodeWithoutSignature перед проверкой подписи, вместо проверки на основе байтов с сырым git Object. Для деформированных объектов с дублированными заголовками деревьев git-core и go-git размах разных деревьев: git-core использует первое, go-git использует второе. Подпись, созданная над нормализованной формой go-git (второе дерево), проходит проверку гитцена, в то время как git-ядро решает обязательство к совершенно другому дереву. Это разбивает инвариант, который проверенная подпись, semантика semanty git-core представляет пользователям, а хэш объекта, зарегистрированный в Rekor, все относятся к одному и тому же содержимому. Эта уязвимость фиксируется в 0.16.0.