CVE-2026-59891 रिग्रेशन और कंट्रोल लैब

@sigstore/oci के वास्तविक कमजोर संस्करण और ठीक किए गए संस्करण की तुलना समान इनपुट के साथ करता है, और वातावरण-विशिष्ट एक्सपोज़र शर्तों की जाँच करने वाली एक पृथक अभ्यास और read-only ऑडिट परियोजना है।

इस परियोजना के CVE Reporter gyubin02 हैं।

भर्ती·साक्षात्कार हेतु सारांश: CVE-2026-59891 कमजोरी प्रबंधन स्वचालन केस स्टडी

क्या सत्यापित किया जाता है

CVE-2026-59891 का मूल Registry प्रमाण-पत्र चुनते समय होने वाला hostname भ्रम है।

0.7.0: cr.io के ghcr.io स्ट्रिंग के भीतर होने के कारण ghcr.io प्रमाण-पत्र चुन सकता है।
0.7.1: hostname को सामान्यीकृत करने के बाद केवल ठीक से मेल खाने वाला प्रमाण-पत्र चुनता है।

यह रिपॉज़िटरी सबसे पहले दो credential चयन परिदृश्यों को स्वचालित रूप से सत्यापित करती है।

collision: केवल ghcr.io प्रमाण-पत्र है, जबकि लक्ष्य cr.io है
exact: लक्ष्य से ठीक मेल खाने वाला cr.io प्रमाण-पत्र मौजूद है

कमजोर संस्करण पहले परिदृश्य में गलत प्रमाण-पत्र चुनता है, और ठीक किया गया संस्करण इसे अस्वीकार करना चाहिए। दोनों संस्करणों को दूसरे सामान्य परिदृश्य में सफल होना चाहिए।

इसमें वास्तविक बाहरी Registry के बजाय 127.0.0.1 पर एक बार उपयोग होने वाले mock Registry का उपयोग करके गतिशील तुलना जोड़ी गई है। कमजोर संस्करण 0.7.0 स्थानीय रूप से 2 अनुरोध करता है और प्रमाणीकरण challenge के बाद दूसरे अनुरोध में संश्लेषित Authorization header देखा जाता है। ठीक किए गए संस्करण 0.7.1 को credential चयन चरण में अस्वीकार कर दिया जाता है, इसलिए अनुरोध 0 हैं। परिणाम में header मान के बजाय केवल अवलोकन हुआ या नहीं और अनुरोधों की संख्या रखी जाती है।

परियोजना एक्सपोज़र जाँच CLI

cve-2026-59891-audit लक्ष्य परियोजना की package-lock.json और स्पष्ट रूप से निर्दिष्ट Docker config का केवल metadata पढ़कर निम्नलिखित को अलग करता है।

प्रभावित @sigstore/oci इंस्टॉलेशन स्थान और संस्करण
कमजोर संस्करण की उपस्थिति और वास्तविक एक्सपोज़र शर्तें पूरी होने की स्थिति
Registry सबस्ट्रिंग टकराव और JSON key क्रम के अनुसार वास्तविक चयनित लक्ष्य
वातावरण-विशिष्ट प्राथमिकता, उपाय और पुनःपरीक्षण प्रक्रिया
Registry hostname और निरपेक्ष पथ हटाए गए JSON·Markdown प्रमाण

संश्लेषित fixture के साथ तुरंत चलाएँ:

npm run audit:demo

अन्य Node.js प्रोजेक्ट की जाँच करें:

npm run audit:project -- \
  --project ../target-project \
  --docker-config ../review-copy/config.json \
  --image cr.io/example/demo \
  --destination-trust unknown \
  --format markdown \
  --output reports/cve-2026-59891.md

--destination-trust में निम्नलिखित में से एक अवश्य निर्दिष्ट करना होगा।

trusted: कोड और allowlist द्वारा destination सीमित होने की पुष्टि की गई
untrusted: बाहरी इनपुट या workflow इनपुट का destination पर प्रभाव पड़ता है
unknown: अभी तक पुष्टि नहीं की गई

निर्णय exposure_conditions_met, potential_exposure, affected_component_only, not_detected, indeterminate में विभाजित होते हैं। not_detected भी केवल दर्ज किए गए इनपुट दायरे के लिए परिणाम है, इसका अर्थ "सुरक्षित" या "अनुपालन" नहीं है।

सुरक्षा उपाय

रिग्रेशन लैब वास्तविक ~/.docker/config.json को न पढ़ती है न संशोधित करती है।
केवल पृथक समर्पित HOME और मूल्यहीन lab-user / LAB_ONLY_FAKE_TOKEN का उपयोग करती है।
केवल तभी पैकेज को कॉल करती है जब HOME, लैब मार्कर और नकली मान सभी सटीक हों।
मौजूदा चयन रिग्रेशन probe सभी HTTP(S), TCP, TLS, DNS और fetch कॉल को tripwire से रोकती है।
डायनामिक probe द्वारा उपयोग की जाने वाली Node नेटवर्क सतहों पर केवल OS द्वारा आवंटित सटीक 127.0.0.1 पोर्ट के HTTP अनुरोधों की अनुमति है। बाहरी·अन्य पोर्ट HTTP, DNS resolver, TLS, UDP, वैश्विक fetch·WebSocket अवरुद्ध हैं।
चाइल्ड प्रोसेस को वर्तमान सत्र के टोकन·Docker पर्यावरण चर विरासत में नहीं मिलते।
stdout/stderr और ऑडिट परिणामों में नकली header तक संग्रहीत नहीं होते, केवल boolean और अनुरोध संख्या शेष रहती है—इसका परीक्षण किया जाता है।
जाँच CLI --docker-config को छोड़ नहीं सकती और HOME या DOCKER_CONFIG से फ़ाइल का अनुमान नहीं लगाती।
CLI credential मानों को decode·hash·आउटपुट नहीं करती, और लक्ष्य प्रोजेक्ट पैकेज·Docker·credential helper निष्पादित नहीं करती और नेटवर्क से कनेक्ट नहीं होती।
symlink, डुप्लिकेट JSON key, असमर्थित lockfile, उच्च प्राथमिकता वाली npm-shrinkwrap.json मिलने पर सुरक्षित होने का दावा नहीं करती बल्कि विफल होती है।

जानबूझकर कमज़ोर पैकेज इंस्टॉल किए जाते हैं, इसलिए npm package वितरण को "private": true से अवरुद्ध किया गया है। इसे उत्पाद कोड की निर्भरता के रूप में उपयोग नहीं करना चाहिए। इस कारण npm audit का 0.7.0 रिपोर्ट करना अपेक्षित परिणाम है, और अपवाद का दायरा व कारण SECURITY.md में दर्ज किया गया है।

निष्पादन

आवश्यकताएँ: Node.js 22.22.2+, 24.15.0+ या 26 से अधिक। अनुशंसित संस्करण .nvmrc में पिन किया गया है।

npm ci --ignore-scripts
npm test
npm run demo
npm run dynamic:demo
npm run audit:fixture
npm run audit:demo
npm run evidence

npm run demo का मुख्य अपेक्षित परिणाम:

0.7.0  collision  credential-selected
0.7.1  collision  credential-rejected
0.7.0  exact      credential-selected
0.7.1  exact      credential-selected

Regression result: PASS

npm run dynamic:demo का मुख्य अपेक्षित परिणाम:

{
  "vulnerable": {
    "packageVersion": "0.7.0",
    "credentialSelection": "credential-selected",
    "requestCount": 2,
    "authorizationObserved": true,
    "digestVerified": true,
    "networkPolicy": "exact-loopback-only"
  },
  "fixed": {
    "packageVersion": "0.7.1",
    "credentialSelection": "credential-rejected",
    "requestCount": 0,
    "authorizationObserved": false,
    "digestVerified": false,
    "networkPolicy": "exact-loopback-only"
  },
  "regressionResult": "PASS"
}

कुल स्वचालित परीक्षण 34 हैं। npm run evidence परीक्षण के अधीन 6 आर्टिफैक्ट और उनकी अखंडता को सत्यापित करने वाले SHA256SUMS को मिलाकर कुल 7 फ़ाइलें उत्पन्न करता है।

यह परियोजना किन क्षमताओं को दर्शाती है

वास्तविक CVE की घटना-शर्तों को कोड स्तर पर समझाना और सुरक्षित रूप से पुनरुत्पादन करना
कमज़ोर संस्करण और संशोधित संस्करण की समान परिस्थितियों में तुलना करने वाला रिग्रेशन परीक्षण डिज़ाइन
संश्लेषित credential के लोकल प्रसारण की भी गतिशील रूप से तुलना करने वाला loopback-only परीक्षण डिज़ाइन
सार्वजनिक CVSS से अलग, वास्तविक परिवेश की आक्रमण-पूर्वशर्तों का मूल्यांकन
package-lock v1·v2·v3, alias और नेस्टेड dependency की स्थिर पहचान
गोपनीय जानकारी को बाहर रखते हुए JSON·Markdown ऑडिट साक्ष्य का स्वचालित निर्माण
खोज → प्रभाव विश्लेषण → संशोधन सत्यापन → नियंत्रण तक जारी रहने वाला कमज़ोरी प्रबंधन
वास्तविक प्रमाण-जानकारी को छुए बिना विफल-सुरक्षित सुरक्षा परीक्षण

स्रोत और दायरा

यह परियोजना एक सीमित शैक्षिक नियंत्रण मूल्यांकन है। loopback परिणाम केवल संश्लेषित परिवेश के व्यवहार-अंतर को प्रमाणित करते हैं, और वास्तविक कॉर्पोरेट परिवेश में credential के उजागर होने·क्षति या नियंत्रण प्रभाव को प्रमाणित नहीं करते। इसका अर्थ CISA योग्यता, ISMS-P प्रमाणन या किसी विशिष्ट संगठन के नियम-अनुपालन से नहीं है। Node API guard लॉक किए गए dependency के प्रेक्षित निष्पादन-पथ के लिए एक रक्षा-परत है, OS स्तर का network namespace या फ़ायरवॉल नहीं।

विस्तृत दायरा, परीक्षण, जोखिम और नियंत्रण दस्तावेज़ docs/ में हैं, और npm run evidence पुनरुत्पादन-योग्य निष्पादन साक्ष्य तथा SHA-256 manifest उत्पन्न करता है।

सबसे लोकप्रिय

cve-2026-59891-control-lab