Vulnerabilidad en cosign (CVE-2022-35929)

cosign es una utilidad de firma y verificación de contenedores. En versiones anteriores a 1.10.1 cosign puede reportar un falso positivo si se presenta alguna atestación. Si es usado "cosign verify-attestation" con el indicador "--type", será informado de un falso positivo en la verificación cuando haya al menos un certificado con una firma válida y NO haya certificados del tipo que está siendo verificado (--type es, por defecto, "custom"). Esto puede ocurrir cuando es firmado con un par de claves estándar y con la firma "keyless" con Fulcio. Esta vulnerabilidad puede reproducirse con la imagen "distroless.dev/static@sha256:dd7614b5a12bc4d617b223c588b4e0c833402b8f4991fb5702ea83afad1986e2". Esta imagen presenta una certificación "vuln" pero no una certificación "spdx". Sin embargo, si es ejecutado "cosign verify-attestation --type=spdx" en esta imagen, el resultado es incorrecto. Este problema ha sido abordado en versión 1.10.1 de cosign. Es recomendado a usuarios actualizar. No se presentan mitigaciones conocidas para este problema