JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026203 Sigstore Timestamp Authorityは、RFC 3161に準拠したタイムスタンプを発行するサービスです。バージョン2.1.0以前では、global wrapMetricsミドルウェアがルーティング前に生のHTTPリクエストパスr.URL.Pathおよび生のHTTPリクエストメソッドr.Methodを、レイテンシーおよびリクエスト数のメトリクスベクトル用のPrometheusラベルとして記録していました。そのため、認証されていないリモート攻撃者が/api/v1/timestamp/＜uuid＞のようなランダムなパスやランダムなHTTPメソッドでリクエストを発行し、メモリを枯渇させる無制限の永続的な時系列エントリを作成できてしまう脆弱性がありました。この問題はバージョン2.1.0で修正されています。 cpe:/a:linuxfoundation:sigstore_timestamp_authority https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026203.html Common Vulnerabilities and Exposures (CVE) CVE-2026-49835 https://www.cve.org/CVERecord?id=CVE-2026-49835 National Vulnerability Database (NVD) CVE-2026-49835 https://nvd.nist.gov/vuln/detail/CVE-2026-49835 GitHub OOM due to unbounded metric label cardinality Advisory sigstore/timestamp-authority GitHub https://github.com/sigstore/timestamp-authority/security/advisories/GHSA-9c54-x2g4-v92j JVNDB CWE-770 https://cwe.mitre.org/data/definitions/770.html 関連文書 Release v2.1.0 sigstore/timestamp-authority GitHub https://github.com/sigstore/timestamp-authority/releases/tag/v2.1.0 関連文書 Bound path and HTTP method metric label cardinality to prevent OOM (#… sigstore/timestamp-authority@506ec57 GitHub https://github.com/sigstore/timestamp-authority/commit/506ec57b6ac2ea1e4739322e47453469425b69b5 2026-07-31T15:00:25+09:00 2026-07-31T15:00:25+09:00