Exploit for CVE-2026-59891

## https://sploitus.com/exploit?id=AE2EDBC2-2D20-55B5-9D67-33336915F964
# CVE-2026-59891 Regression & Control Lab

`@sigstore/oci`의 실제 취약 버전과 수정 버전을 같은 입력으로 비교하고,
환경별 노출 조건을 점검하는 격리형 실습 프로젝트입니다.

> 이 프로젝트의 CVE Reporter는
> [gyubin02](https://github.com/gyubin02)입니다.

## 무엇을 검증하나

CVE-2026-59891의 핵심은 Registry 인증정보를 고를 때 발생하는
hostname 혼동입니다.

- `0.7.0`: `cr.io`가 `ghcr.io` 문자열 안에 있다는 이유로
  `ghcr.io` 인증정보를 선택할 수 있습니다.
- `0.7.1`: hostname을 정규화한 뒤 정확히 일치하는 인증정보만
  선택합니다.

이 저장소는 두 가지 시나리오를 자동 검증합니다.

1. **collision**: `ghcr.io` 인증정보만 있는데 대상은 `cr.io`
2. **exact**: 대상과 정확히 일치하는 `cr.io` 인증정보가 있음

취약 버전은 첫 번째 시나리오에서 인증정보를 잘못 선택하고, 수정
버전은 거부해야 합니다. 두 버전 모두 두 번째 정상 시나리오는
성공해야 합니다.

## 안전장치

- 실제 `~/.docker/config.json`을 읽거나 수정하지 않습니다.
- 저장소 안의 전용 `HOME`과 무가치한 가짜 인증정보만 사용합니다.
- `HOME`, 랩 표식, 가짜 값이 모두 정확할 때만 패키지를 호출합니다.
- 이 테스트가 호출하는 API는 로컬 파일에서 인증정보를 선택할 뿐
  Registry에 네트워크 요청을 보내지 않습니다.
- probe 자식 프로세스에서는 HTTP(S), TCP, TLS, DNS, `fetch` 호출을
  tripwire로 막습니다.
- 자식 프로세스에 현재 세션의 토큰·Docker 환경변수를 상속하지
  않습니다.
- stdout/stderr와 감사 결과에 가짜 토큰조차 나타나지 않는지
  테스트합니다.

취약 패키지를 의도적으로 설치하므로 이 저장소는 `"private": true`인
교육용 랩입니다. 제품 코드의 의존성으로 사용하면 안 됩니다.
이 때문에 `npm audit`가 0.7.0을 보고하는 것은 예상된 결과이며,
예외의 범위와 이유는 [`SECURITY.md`](SECURITY.md)에 기록했습니다.

## 실행

요구 사항: Node.js 22.22.2+, 24.15.0+ 또는 26 이상. 권장 버전은
`.nvmrc`에 고정했습니다.

```bash
npm install --ignore-scripts
npm test
npm run demo
npm run audit:fixture
npm run evidence
```

`npm run demo`의 핵심 예상 결과:

```text
0.7.0  collision  credential-selected
0.7.1  collision  credential-rejected
0.7.0  exact      credential-selected
0.7.1  exact      credential-selected

Regression result: PASS
```

## 이 프로젝트가 보여주는 역량

- 실제 CVE의 발생 조건을 코드 수준에서 설명하고 안전하게 재현
- 취약 버전과 수정 버전을 동일 조건에서 비교하는 회귀 테스트 설계
- 공개 CVSS와 별도로 실제 환경의 공격 전제조건을 평가
- 발견 → 영향 분석 → 수정 검증 → 통제로 이어지는 취약점 관리
- 실제 인증정보를 건드리지 않는 실패 안전형 보안 테스트

## 출처와 범위

- [GitHub Security Advisory GHSA-pf56-329r-95rw](https://github.com/sigstore/sigstore-js/security/advisories/GHSA-pf56-329r-95rw)
- [NVD CVE-2026-59891](https://nvd.nist.gov/vuln/detail/CVE-2026-59891)

이 프로젝트는 제한된 교육용 통제 평가입니다. CISA 자격, ISMS-P
인증 또는 특정 조직의 규정 준수를 뜻하지 않습니다.

상세한 범위, 테스트, 위험 및 통제 문서는 [`docs/`](docs/)에 있으며,
`npm run evidence`는 재현 가능한 실행 증적과 SHA-256 manifest를
생성합니다.