JVNDB-2025-026063

notaryprojectのnotation-goにおける例外的な状況に対する不適切なチェックまたは処理に関する脆弱性

notion-goは、OCIアーティファクトの署名および検証をサポートするためのライブラリ群であり、Notary Projectの仕様に基づいています。この問題は、Quarkslabのセキュリティ監査中に、証明書失効リスト（CRL）に基づく失効チェック機能で特定されました。CRLを取得した後、notation-goはos.Renameメソッドを使用してCRLキャッシュの更新を試みます。しかし、この操作は、特にソースと宛先のパスが異なるマウントポイントにある場合、オペレーティングシステム固有の制限により失敗する可能性があります。この失敗により予期しないプログラムの終了が発生する恐れがあります。メソッド`crl.(*FileCache).Set`では、一時ファイルがOSの専用領域（通常Linux/Unixの/tmpなど）に作成されます。ファイルが書き込まれた後、os.Renameを使って専用の`notation`キャッシュディレクトリに移動しようとします。Goのドキュメントに記載されているように、OS固有の制限が適用されることがあります。Linux OSを使用している場合、libcのrenameシステムコールに依存しており、ドキュメントによると、異なるマウントポイントへのファイル移動はEXDEVエラー（クロスデバイスリンク禁止エラー）を引き起こします。RedHatのような一部のLinuxディストリビューションでは、一時ファイル用に特定のマウントポイント（通常は/tmp）に専用ファイルシステム（tmpfs）がマウントされています。このようなOSを使用すると、CRLに基づく失効チェックは繰り返しnotationをクラッシュさせる原因となります。その結果、プロセスのクラッシュにより署名検証プロセスが中止されます。この問題はバージョン1.3.0-rc.2で対処されており、すべてのユーザーにアップグレードを推奨します。本脆弱性に対する既知の回避策はありません。

notaryproject

• notation-go 1.3.0 未満
• notation-go 1.3.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアの一部が停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Process crash during CRL-based revocation check on OS using separate mount point for temp Directory  Advisory  notaryproject/notation-go  GitHub

1. 例外的な状況に対する不適切なチェックまたは処理(CWE-703) [その他]

1. CVE-2024-51491

1. National Vulnerability Database (NVD) : CVE-2024-51491
2. 関連文書 : rename(2) - Linux manual page
3. 関連文書 : fix: OS error when setting CRL cache leads to denial of signature ver…  notaryproject/notation-go@3c33022  GitHub

• [2026年02月17日]
    掲載