JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2025-026063 notion-goは、OCIアーティファクトの署名および検証をサポートするためのライブラリ群であり、Notary Projectの仕様に基づいています。この問題は、Quarkslabのセキュリティ監査中に、証明書失効リスト（CRL）に基づく失効チェック機能で特定されました。CRLを取得した後、notation-goはos.Renameメソッドを使用してCRLキャッシュの更新を試みます。しかし、この操作は、特にソースと宛先のパスが異なるマウントポイントにある場合、オペレーティングシステム固有の制限により失敗する可能性があります。この失敗により予期しないプログラムの終了が発生する恐れがあります。メソッド`crl.(*FileCache).Set`では、一時ファイルがOSの専用領域（通常Linux/Unixの/tmpなど）に作成されます。ファイルが書き込まれた後、os.Renameを使って専用の`notation`キャッシュディレクトリに移動しようとします。Goのドキュメントに記載されているように、OS固有の制限が適用されることがあります。Linux OSを使用している場合、libcのrenameシステムコールに依存しており、ドキュメントによると、異なるマウントポイントへのファイル移動はEXDEVエラー（クロスデバイスリンク禁止エラー）を引き起こします。RedHatのような一部のLinuxディストリビューションでは、一時ファイル用に特定のマウントポイント（通常は/tmp）に専用ファイルシステム（tmpfs）がマウントされています。このようなOSを使用すると、CRLに基づく失効チェックは繰り返しnotationをクラッシュさせる原因となります。その結果、プロセスのクラッシュにより署名検証プロセスが中止されます。この問題はバージョン1.3.0-rc.2で対処されており、すべてのユーザーにアップグレードを推奨します。本脆弱性に対する既知の回避策はありません。 cpe:/a:notaryproject:notation-go https://jvndb.jvn.jp/ja/contents/2025/JVNDB-2025-026063.html Common Vulnerabilities and Exposures (CVE) CVE-2024-51491 https://www.cve.org/CVERecord?id=CVE-2024-51491 National Vulnerability Database (NVD) CVE-2024-51491 https://nvd.nist.gov/vuln/detail/CVE-2024-51491 GitHub Advisory Database Process crash during CRL-based revocation check on OS using separate mount point for temp Directory Advisory notaryproject/notation-go GitHub https://github.com/notaryproject/notation-go/security/advisories/GHSA-qjh3-4j3h-vmwp JVNDB CWE-703 https://cwe.mitre.org/data/definitions/703.html 関連文書 rename(2) - Linux manual page https://man7.org/linux/man-pages/man2/rename.2.html 関連文書 fix: OS error when setting CRL cache leads to denial of signature ver… notaryproject/notation-go@3c33022 GitHub https://github.com/notaryproject/notation-go/commit/3c3302258ad510fbca2f8a73731569d91f07d196 2026-02-17T15:10:26+09:00 2026-02-17T15:10:26+09:00