Vulnerabilidad en Quill de anchore (CVE-2026-31960)

Quill proporciona firma binaria de mac simple y notarización desde cualquier plataforma. Quill antes de la versión v0.7.1 tiene lecturas ilimitadas de cuerpos de respuesta HTTP durante el proceso de notarización de Apple. La explotación requiere la capacidad de modificar respuestas de API del servicio de notarización de Apple, lo cual no es posible bajo condiciones de red estándar debido a HTTPS con validación adecuada de certificados TLS; sin embargo, entornos con proxies de intercepción TLS (comunes en redes corporativas), autoridades de certificación comprometidas, u otras violaciones de límites de confianza están en riesgo. Al procesar respuestas HTTP durante la notarización, Quill lee el cuerpo completo de la respuesta en la memoria sin ningún límite de tamaño. Un atacante que puede controlar o modificar el contenido de la respuesta puede devolver una carga útil arbitrariamente grande, haciendo que el cliente de Quill se quede sin memoria y falle. El impacto se limita a la disponibilidad; no hay efecto en la confidencialidad o integridad. Tanto la CLI de Quill como la biblioteca se ven afectadas cuando se utilizan para realizar operaciones de notarización. Esta vulnerabilidad se corrige en 0.7.1.