CVE-2026-6966: awslabs/tough签名验证绕过漏洞

awslabs/tough在tough-v0.22.0之前版本中存在安全漏洞，即在委托角色验证时未正确验证加密签名的唯一性。这使得远程已认证用户可以通过复制一个有效的签名多次来满足TUF（The Update Framework）的签名阈值要求。攻击者利用此漏洞可绕过签名验证机制，诱导客户端接受伪造的委托角色元数据，从而破坏软件更新链的完整性。

该漏洞源于TUF协议实现中的逻辑缺陷。通常TUF要求元数据必须拥有来自不同密钥的足够数量的签名（阈值）才能被信任，例如要求3个签名中的2个。在awslabs/tough的受影响版本中，系统仅检查签名列表的数量和有效性，而未检查签名ID的唯一性。因此，攻击者只需获得一个合法的签名，将其在元数据的签名列表中重复多次（例如复制两次以凑够3个中的2个），即可欺骗验证逻辑。这使得攻击者能够注入恶意的委托角色元数据，导致客户端下载并执行未经授权的代码或配置。