sigstore 厂商漏洞列表 / CVE 中文分析 29

sigstore 是开源软件供应链安全项目，旨在通过透明日志和密钥管理增强软件构建与分发的信任链。其核心组件如 cosign 和 rekor 在处理数字签名验证时，历史上曾暴露出身份验证逻辑缺陷及密钥存储不当等风险，导致部分 CVE 涉及越权访问或数据篡改。近期统计显示已收录 27 条漏洞，多集中于签名验证流程的边界条件处理。该项目强调去中心化信任模型，但实施细节中的配置错误仍可能引发供应链攻击，需持续监控其安全更新。