Vulnerabilidad en syft (CVE-2023-24827)

syft es una herramienta CLI y una librería Go para generar una lista de materiales de software (SBOM) a partir de imágenes de contenedores y sistemas de archivos. Se encontró una falla de divulgación de contraseña en las versiones v0.69.0 y v0.69.1 de Syft. Esta falla filtra la contraseña almacenada en la variable de entorno SYFT_ATTEST_PASSWORD. La variable de entorno `SYFT_ATTEST_PASSWORD` es para que el comando `syft attest` genere SBOM certificado para la imagen del contenedor dada. Esta variable de entorno se utiliza para descifrar la clave privada (proporcionada con `syft attest --key `) durante el proceso de firma mientras se genera una certificación SBOM. Esta vulnerabilidad afecta a los usuarios que ejecutan syft y tienen la variable de entorno `SYFT_ATTEST_PASSWORD` configurada con credenciales (independientemente de si se está utilizando el comando attest o no). Los usuarios que no tienen configurada la variable de entorno `SYFT_ATTEST_PASSWORD` no se ven afectados por este problema. Las credenciales se filtran de dos maneras: en los registros de syft cuando se usan `-vv` o `-vvv` en el comando syft (que es cualquier nivel de registro >= `DEBUG`) y en la atestación o SBOM solo cuando Se utiliza el formato `syft-json`. Tenga en cuenta que a partir de la versión 0.69.0, cualquier certificación generada por el comando `syft attest` se carga en el registro OCI (si tiene acceso de escritura a ese registro) de la misma manera que se realiza `cosign adjunto`. Esto significa que cualquier certificación generada para las versiones afectadas de syft cuando se configuró la variable de entorno `SYFT_ATTEST_PASSWORD` filtraría credenciales en el payload de certificación cargada en el registro OCI. Este problema se solucionó en el commit `9995950c70` y se lanzó como v0.70.0. No existen workarounds para esta vulnerabilidad. Se recomienda a los usuarios que actualicen.