漏洞概述 漏洞编号: CVE-2026-42047 描述: 该漏洞涉及对请求签名的潜在基于时间的签名恢复攻击。通过改进 HMAC 签名验证,使用恒定时间比较来缓解此类攻击。此外,还改进了对签名中时间戳的处理,包括处理格式错误或未来日期的时间戳。 影响范围 受影响组件: 库 具体影响: 可能导致请求签名被基于时间的攻击者恢复,从而危及系统的安全性。 修复方案 修复措施: - 使用恒定时间比较进行 HMAC 签名验证。 - 改进对签名中时间戳的处理,包括处理格式错误或未来日期的时间戳。 - 在导出 OTEL 跟踪时哈希签名密钥。 补丁变更 补丁版本: 提交者: 提交时间: 上周 提交哈希: 其他信息 相关 PR: - #1470: 修复检查点 maxRuntime 导致重复执行的问题。 - #129044: 确保 runids 在 Durable Endpoints 中正确 URI 编码。 - #129044: 改进 HMAC 签名验证和时间戳处理。 - #129044: 在导出 OTEL 跟踪时哈希签名密钥。 资源 源代码: - Source code (zip) - Source code (tar.gz)